Protección de datos

El Reglamento General de Protección de Datos cumple años. ¿Estamos mejor?

Estamos de celebración. El RGPD (o GDPR para los amigos) cumple dos añitos de pleno funcionamiento.

¿Quién nos iba a decir que dos años después media humanidad iba a estar confinada por un virus (no informático) que nos ha cambiado el orden de las prioridades?

Dos años en los que el RGDP tiene ya un cierto recorrido de aprendizaje, de aplicación y también de cuantiosas sanciones. Dos años que culminan con una prueba de fuego a la privacidad: datos de salud, pasaportes de inmunidad, aplicaciones de contacto, teletrabajo, teleenseñanza, sociedades hiperconectadas…

En estos meses, desde que la Organización Mundial de la Salud declaró la pandemia por Covid19 han sido muchos los temas en los que el RGPD ha estado muy presente. Todas las autoridades de control de la UE han emitido informes, documentos, posiciones y recomendaciones sobre temas diversos: desde la posible restricción de derechos en los declarados estados de alarma (o similares en los países de nuestro entorno) hasta la necesidad de recabar los datos de salud para entender cómo se está comportando el virus y poder atajar su propagación.

Pero el RGPD tiene mucho más recorrido y si miramos atrás, podemos decir que el que más o el que menos ha oído hablar de esta norma; que el que más o el que menos ha intentado aplicarla y el que más o el que menos conoce sus derechos.

Sin embargo y a pesar de los esfuerzos de las autoridades de control, en particular de nuestra Agencia Española de Protección de Datos y de los profesionales que nos dedicamos a ello, todavía queda mucho por hacer. ¿Por qué?

  • Porque todavía no todos aquellos que tratan datos conocen bien sus obligaciones
  • Porque los ciudadanos todavía no conocen bien sus derechos.
  • Porque todavía hay profesionales que no asesoran bien.

Respondiendo a la pregunta de nuestro titular y desde nuestro humilde punto de vista hemos obtenido muchos logros en la protección de este derecho fundamental:

  • Hemos ganado en transparencia:
    • Ahora nos informan mejor, sabemos qué hacen con nuestros datos, si están en la UE o fuera. Si hay terceros que acceden a ellos, cuánto tiempo se conservan, a quién nos tenemos que dirigir para ejercitar nuestros derechos y quién está verdaderamente detrás del tratamiento.
    • La figura del Delegado de Protección de Datos ha contribuido a esta transparencia supervisando actividades, velando por el cumplimiento, asesorando a las entidades y en definitiva convirtiéndose en una figura a la que acudir para cualquier cuestión relacionada con la privacidad. Como decía un antiguo compañero abogado del que mucho aprendí: si no hay nadie que específicamente se ocupe del asunto, el asunto no sale. El hecho de contar un DPO, ya en sí mismo, implica que la organización tiene claro que hay “alguien” a quien deben consultarse las cosas. Y ello se traduce en hacer las cosas mejor.
    • El hacer una reflexión sobre las finalidad, las bases de legitimación, los destinatarios, las transferencias internacionales y muy importante, sobre los riesgos, ayuda a las organizaciones a saber lo que tienen entre manos en términos de privacidad.
  • Hemos ganado en concienciación:
    • Es difícil encontrar ya empresas o profesionales que no les “suene” que existe una normativa de protección de datos que tienen que cumplir (todavía se encuentra algún “mirlo blanco” pero es excepcional.
    • En las organizaciones, a poco que hayan hecho los deberes, se sabe que “no todo vale”, especialmente los departamentos comerciales y de marketing que antiguamente eran los auténticos agujeros negros de los datos.
    • Los propios ciudadanos saben que tienen derecho a decidir sobre sus datos, a no recibir información comercial no deseada, a que no se haga tratamiento de sus datos si no lo han consentido…
    • Existe mayor reticencia a descargarse aplicaciones que piden permisos por encima de lo necesario o cuyo uso es dudoso.
  • Hemos ganado en homogeneidad:
    • Antes del RGPD teníamos veintiocho regulaciones de privacidad bajo el paraguas de la antigua Directiva. El RGPD nos igualó a todos. Hablamos el mismo lenguaje de “privacidad”. Los principios son los mismos para todos, las obligaciones, los derechos… Esto ayuda cuando una empresa u organización tiene presencia en varios países. No obstante, aquí todavía existe un principio de “lado oscuro” que exponemos más adelante.

Sin embargo, nuestra opinión es que hay algunos aspectos que quizás, de forma inevitable, van unidos a lo anterior y que podemos considerar como «menos positivos» (el lado oscuro del RGPD):

  • No nos hemos deshecho de documentación sino más bien todo lo contrario
    • Para demostrar el cumplimiento debemos hacer las cosas bien y ser capaces de probarlo. Para ello la documentación es esencial. Y son muchas las obligaciones que hay que probar: procedimientos, políticas, modelos, comunicaciones, instrucciones…. El volumen ha aumentado sin lugar dudas.
  • La responsabilidad proactiva y el enfoque desde el riesgo genera problemas a muchas empresas que no saben muy bien lo que tienen que hacer
    • El trasladar a las empresas la responsabilidad sobre lo que tienen que hacer en lugar de establecer “lo que tienen que hacer” de forma clara en una ley genera problemas. Todavía es difícil hacer entender que en ningún sitio de la Ley pone que hay que hacer copias de seguridad por ejemplo, cada semana y que la periodicidad dependerá de la organización. El “y donde pone eso” exige explicación exhaustiva que pasa por explicar el principio de accountability y la nueva perspectiva de cumplimiento desde el riesgo y desde el diseño y por defecto.
  • Los ciudadanos ejercen sus derechos pensando que la protección de datos es absoluta
    • No es extraño encontrar a un cliente que exige que se borren sus datos a pesar de que su pedido se encuentra pendiente. O que retira su consentimiento cuando la base de legitimación es otra…
    • Todavía al preguntar en las formaciones si los asistentes conocen sus derechos, existe confusión… de todas formas estamos mucho mejor en este punto.
  • A pesar de la homogeneidad en la regulación, cada autoridad de control está adoptando criterios propios que afectan a sus respectivos países y que al final vuelven a parcelar el mercado europeo
    • En estos días de confinamiento, las diferentes autoridades de control se están pronunciando sobre aspectos relativos a la privacidad relacionada con el Covid19 tales como la toma de temperatura, los controles de salud, pasaportes de inmunidad etc. Existen matices según el país y algunos no coinciden.
    • Lo mismo sucede en materia de cookies, sanciones etc. Cada país sigue sus propios criterios (bajo el paraguas del GDPR siempre eso sí) que provoca situaciones curiosas.

En todo caso los avances son indudables. Este derecho fundamental ocupa un lugar importante en la mente de los ciudadanos. Las empresas intentan hacerlo mejor que antes. Dos años de rodaje y el balance es positivo.

Que cumpla muchos más. Y que estemos aquí para ayudar a cumplirlo.

 

25 de mayo de 2020

 

Paz Martin

#losdetallesimportan

El teletrabajo y sus implicaciones legales: seminario online

El teletrabajo se ha convertido, queramos o no, en una forma de continuar la actividad en muchas empresas como consecuencia de la declaración del estado de alarma.

El Círculo de Empresarios de Galicia ha celebrado un seminario titulado «Gestión Legal del teletrabajo: mecanismos para la nueva realidad» en el que hemos abordado este tema desde una doble perspectiva: la laboral y la de la protección de datos. La primera ha corrido a cargo de Fabián Valero, Director y fundador de Zeres Abogados y uno de los profesionales que más sabe de derecho laboral. Nosotros hemos tenido el honor de hablar un poco de la protección de datos y de las obligaciones que la empresa tiene para trabajar correctamente en este entorno cumpliendo con el Reglamento General de Protección de Datos y la Ley Orgánica de Protección de Datos Personales y de Garantía de los Derechos Digitales.

El seminario ha sido grabado y nos complace ponerlo a vuestra disposición.

Abril de 2020

#losdetallesimportan

 

Desayuno #desdecasa, Fabián Valero Moldes, director general de Zeres Abogados y Paz Martín, abogada y directora de Legal Things Abogados, nos hablan sobre la Gestión legal del teletrabajo y los mecanismos para la nueva realidad.

Publicada por Círculo de Empresarios de Galicia en Jueves, 30 de abril de 2020

TELETRABAJO Y SMART WORKING: Lo que vamos a aprender del Covid-19

Una reflexión más allá de los aspectos jurídicos y de datos personales sobre la llamada «crisis del coronavirus»

Vivimos una situación sin precedentes que nos está obligando a modificar radicalmente y de forma súbita, nuestros hábitos de vida y trabajo.

Llevamos unos días de confinamiento en los que muchos podemos trabajar desde nuestros domicilios. Considerémonos unos privilegiados por poder minimizar al máximo los riesgos, seguir, dentro de lo que cabe, con nuestra actividad profesional sin tener que desplazarnos.

Para muchos de nosotros esta situación no es nueva: la que suscribe ha trabajado desde hospitales, residencias, trenes, aviones, espacios compartidos, empresas de clientes, desde el despacho y por supuesto desde casa. Y el servicio profesional siempre se ha prestado sin problema. Este es un lujo que los abogados podemos permitirnos. Sin embargo, es el nuestro un sector que se ha resistido a estas cosas por la maldita cultura del “presentismo”.

Primera lección: no es necesario estar físicamente en un despacho para poder prestar asesoramiento (o realizar el trabajo que sea -insisto, siempre que el propio trabajo lo permita-). Algunos ya lo sabían, la mayoría, ahora lo van a comprobar.

Segunda lección: la confianza. Trabajar en remoto implica un ejercicio de confianza en las empresas. La mayoría de los trabajadores son responsables, quieren seguir haciendo su trabajo con normalidad y cumplir con su labor. No se necesita un “vigilante” ni tener a todos recogidos en un mismo recinto para que las cosas se hagan. Se trata de ser responsable. Nos han pedido “responsabilidad” a todos. En esto también vamos a ser responsables.

Esto quizá suponga un antes y un después en la forma de trabajar. Curiosamente grandes empresas y las muy pequeñas (entre las que me incluyo) ya lo habíamos descubierto hace mucho tiempo. Trabajar desde casa aumenta la productividad y disminuye los costes. No hay desplazamientos, se reduce la contaminación. No hay que calentar (o enfriar en verano) grandes recintos ni se necesitan grandes infraestructuras. En las grandes empresas cada vez es más frecuente el concepto “sitios calientes”: llegas con tu portátil y te enchufas… En casa, con un poco de suerte, siempre tendrás tu espacio de trabajo confortable y a tu gusto…

Tercera lección: reducir el estrés. El concepto “downshifting” acuñado hace años por los que con un poco de perspectiva invitaban a pisar el freno y tomarse las cosas con calma en general, cobra, ahora más que nunca, un gran sentido. Estamos en casa, no tenemos que ir corriendo de un lado a otro. No tenemos que sufrir atascos, ni achuchones en los transportes públicos. Podemos dormir más. No hay que recoger a los niños del colegio, ni llevarlos a clases de baloncesto o patinaje. Casi todo puede esperar: nos han interrumpido los plazos administrativos y judiciales. No hay juicios. Las reuniones son ahora virtuales… Es verdad que estar en casa con niños pequeños y sin salir a pasear pueda resultar estresante pero…. ¿no es verdad que el trabajo puede hacerse de una forma más tranquila?

Cuarta lección: regreso a las cosas sencillas (back to the roots). Trabajo, gimnasio, compras, actividades extraescolares, quedar con amigos, pasear… Todo eso hay que hacerlo ahora en casa y desde casa. Hay más tiempo y muchas cosas que todos postergamos para “cuando tengamos tiempo”: leer, leer esas cosas que vamos dejando “para algún día”, ordenar papeles, jugar con nuestros hijos o nuestra familia, ver una buena película, organizar las fotos, cocinar a fuego lento, disfrutar de una comida rica todos juntos, escribir… Podemos disfrutar de nuestro trabajo de una forma más pausada, sin el traje y la corbata (que en nuestro sector siguen proliferando), en ese hogar que vemos poco porque siempre estamos fuera “haciendo cosas”.

Quinta lección: pensar. O meditar. Pensar en estas lecciones de vida que todos vamos a extraer. Pensar en nuevas oportunidades de negocio, en proyectos. Pensar en iniciativas desde casa, en cómo podemos ayudar a los demás (además de quedarnos en casa). Pensar en si estamos viviendo la vida que verdaderamente queremos vivir…

Sexta lección: la tecnología vino para ayudarnos. No imaginamos estos días sin Internet ni medios de comunicación. Podemos trabajar desde casa porque existen herramientas para ello. Nos podemos comunicar. Podemos hablar con nuestros seres queridos y verles aunque se encuentren a kilómetros de distancia. Recibimos noticias a tiempo real y los locutores de la radio trabajan la mayoría desde su casa. Nos reunimos con nuestros clientes y resolvemos sus problemas… en la distancia. Y ni siquiera necesitamos tener los servidores físicamente en casa o en la oficina porque podemos trabajan en la “nube” con herramientas comunes que facilitan el trabajo colectivo.

Eso sí, hay que trabajar seguro. Por ello, estas situaciones excepcionales no deben hacer que bajemos la guardia en la observancia de las medidas de seguridad habituales que protegen la información y los datos personales.

Algunas recomendaciones de seguridad que no debemos olvidar:

1.- Las conexiones remotas deben ser seguras. Para ello existen las VPN. En estos días los informáticos trabajan a destajo para que todo el mundo pueda trabajar utilizando este sistema.

2.- Debería trabajarse siempre desde ordenadores corporativos. Los peligros de trabajar desde el mismo ordenador desde el que nuestros hijos estudian, juegan, descargan películas o se conecta toda la familia, son grandes.El trabajo desde ordenadores propios de cada trabajador obliga a las empresas a establecer políticas BYOD (bring your own device) para regular situaciones como la que estamos viviendo a fin de evitar situaciones que pongan en riesgo la seguridad de una organización.

3.- La política de seguridad en el puesto de trabajo (contraseñas, no apuntarlas, accesos unívocos etc) debe mantenerse en casa. Algunos están en familia, otros en pisos compartidos. El momento de trabajar implica guardar confidencialidad sobre lo que se hace como si estuviéramos en el lugar físico de trabajo. Si se puede trabajar en un sitio en el que estemos nosotros solos, mejor.

4.- Ojo con las campañas de phishing con información o curas del Covid-19. Los desaprensivos también trabajan desde casa. No relajarse. Incluso se están recibiendo emails fraudulentos con instrucciones para el teletrabajo con enlaces para pedir credenciales. Mucho cuidado con esto.

5.- El whasapp y las aplicaciones de mensajería son para comunicarse pero no para tratar temas confidenciales. Mejor utilizar el correo corporativo y las herramientas que la empresa utilice para comunicarse. Estamos aislados pero no incomunicados. Las reuniones vía Teams, Skype etc pueden celebrarse y seguramente serán mucho más productivas que las presenciales en las que a menudo se pierde mucho el tiempo.

El punto de madurez tecnológica de muchas empresas se está poniendo a prueba ahora. Muchos despachos de abogados están sufriendo sus reticencias a utilizar sistemas de almacenamiento en la nube y no han querido ni hablar de transformación digital. Esta crisis supondrá un punto de inflexión en los modelos productivos, en las formas de trabajo y de prestación de los servicios.

Miremos el lado positivo del confinamiento. Seamos responsables. Pongamos nuestro granito de arena para que los contagios disminuyan, para que los sanitarios trabajen con menos agobio, para que esto pase lo antes posible.

Dicen que se aprende más de las situaciones difíciles. Este es el momento.

#yomequedoencasa
#losdetallesimportan

Paz Martin
17 de marzo de 2020

¿Es obligatoria la auditoría de protección de datos?

Hoy es el Día Europeo de la Protección de Datos. Toca reflexionar. En esta ocasión vamos a analizar una pregunta recurrente en las organizaciones. Vamos a suponer que el que más o el que menos sabe que la legislación de protección de datos cambió hace un par de años.

Vamos a suponer igualmente que el que más o el que menos hizo los deberes e hizo el esfuerzo de «adaptarse» a la nueva normativa es decir el Reglamento UE 2016/679 General de Protección de Datos o RGPD (esto ya es mucho suponer).

Y realizado el esfuerzo (los que lo hicieron) ahora muchos se preguntan ¿hay que hacer auditoría? ¿dónde lo dice? ¿cada cuánto? Y es cuando uno tiene que deshacerse en explicaciones de por qué sin revisión, auditoría o como lo queramos llamar, no existe cumplimiento.

Estamos en enero, mes de buenos propósitos: dietas y matrículas en los gimnasios. La gestión de la privacidad es como el cuerpo humano: hay que cuidarlo y es agradecido. Si te das el atracón y no lo trabajas después, se malogra, se lesiona, enferma y de nada vale apuntarse al gimnasio un mes porque los milagros, por lo menos en este terreno, no existen. Con la privacidad sucede lo mismo. Mayo de 2018 y meses anteriores y posteriores: atracón de privacidad. Algunos desde entonces no han vuelto sobre ello. Craso y grave error. Eso no es cumplir.

Dicen los entrenadores que más vale poco y continuado que no la paliza «de dominguero». Para que el cumplimiento sea eficaz tiene que ser constante y revisable. No hay norma que no requiera ser revisada en el tiempo.

La obligación: Por establecer una base legal nos tenemos que referir de forma obligatoria a una serie de artículos del RGPD:

El artículo 24 dije que las medidas técnicas y organizativas «se revisarán y actualizarán cuando sea necesario». El artículo 32, por su parte obliga a que responsables y encargados apliquen medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al reisgo que en su caso incluya, entre otros… un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento».

Ahí tenemos la obligación de «auditoría», sin periodicidad definida pero sí orientativa: cuando sea necesario» y para «garantizar la seguridad del tratamiento».

Si buceamos en sistemas de gestión de la seguridad de la información como la ISO 27001 o el Esquema Nacional de Seguridad comprobaremos que las revisiones son, en general, anuales. Anualmente se revisan partes de los sistemas y cada tres años, se revisan en su totalidad (en el caso de las ISOs para renovar la certificación).

La periodicidad: La normativa anterior establecía una obligación de auditoría al menos cada dos años o cuando existieran cambios en los sistemas de información. Dos años puede ser una orientación pero consideramos que no es suficiente dado el ritmo de las actividades de las entidades: Si en dos años no hacemos nada, es posible que a los dos años tengamos que volver a empezar. Por ello habría que establecer dos pasos:

Procesos de revisión constantes y periódicos, supervisando si se hacen las cosas bien, aplicando el principio de seguridad desde el diseño y por defecto y en definitiva, estando encima. Parece mentira pero con todo y con eso, cuando uno revisa, siempre salen «cosas».

Procesos de auditoría bien globales o parciales (p.e. por actividades de tratamiento estratégicas o críticas para el negocio) que constaten que lo que allí se hace es conforme con la norma y que garantiza adecuadamente la seguridad de los datos personales. Una revisión cada dos años puede estar bien en organizaciones donde no haya grandes cambios y siempre que se realice una revisión constante. En otras, la frecuencia debería ser anual…

Si seguimos con los símiles es algo así como la limpieza diaria y la general. Si uno sólo limpia una vez al año, es posible que lo que encuentre sea algo más que pelusas… E incluso limpiando a diario, la limpieza general es necesaria. Así debe ser la gestión de la privacidad: algo diario, interiorizado en las organizaciones como un elemento más de su gestión empresarial. De esta forma las auditorías no tienen por qué dar miedo sino que serán un instrumento de mejora continua, de reflexión profunda (y más si lo ven «otros» ojos) y de cumplimiento real.

Y muchos nos dicen: «yo soy una pyme, en mí no se fijará nadie». Otro gran error. El incumplimiento acecha a la vuelta de la esquina y el incumplimiento por ignorancia no está recogido como «atenuante».

Por lo tanto, para coger «músculo» en esto de la protección de datos hay que ejercitarlo. Y no hay mejor ejercicio que la revisión permanente y la conciencia de que lo que tenemos entre manos es un derecho fundamental que merece todo nuestra atención y respeto.

Paz Martin

28 de enero de 2020

#losdetallesimportan

Las cookies, el consentimiento y las multas que vienen: si no quieres cookies, no te las comas

O de cómo el RGPD llegó también a las cookies

Desde que entró en funcionamiento el Reglamento General de Protección de Datos (RGPD o GDPR) cualquier recogida de datos personales exige un por qué «legítimo».

Las cookies, además de ser esas galletitas adorables que se comen, son también un medio para recoger datos personales durante la navegación por Internet. Algunas cookies sirven para que no tengamos que elegir idioma cada vez que entramos a una web, por ejemplo. Pero otras, tienen como misión acompañarnos en nuestra navegación y perfilar nuestras preferencias; ahora visitas un periódico, ahora haces la compra, ahora te metes en los deportes, ahora buscas un viaje… Es una forma, bastante eficaz, de conocer los hábitos y preferencias de los usuarios. Pero claro, si de esa monitorización no nos enteramos, parece que la cosa no se está haciendo bien.

¿Por qué? Porque según establece la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSICE) se pueden instalar cookies pero «a condición de que los destinatarios hayan dado su consentimiento después de que se les haya facilitado información clara y completa sobre su utilización, en particular sobre los fines del tratamiento de los datos«.

Ese consentimiento, con el RGPD, ha de ser expreso. Es más debe darse opción a los usuarios para que se opongan a la instalación de las mismas. Es decir, si no quieres cookies, «no te las comas».

La Agencia Española de Protección de Datos está trabajando en una nueva guía de cookies que sustituirá a la anterior. En ella probablemente nos aclararán qué fórmulas de consentimiento son aceptables y cuáles no, cómo rechazar las cookies y cómo configurarlas. Se había anunciado para este verano pero parece que se ha retrasado un poco.

No obstante, se acaba de dictar la primera resolución tras un procedimiento sancionador (PS/00300/2019) que impone una multa de 24000 euros a la compañía VUELING AIRLINES, S.L. . La sanción viene por no dar la opción de oponerse a la instalación de cookies al usuario más allá de remitirle a la configuración de los navegadores para que las bloqueen.

La AEPD afirma: «no se facilita un sistema de gestión o panel de configuración de cookies que permita al usuario eliminarlas de forma granular. Para facilitar esta selección el panel podrá habilitar un mecanismo o botón para rechazar todas las cookies, otro para habilitar todas las cookies o hacerlo de forma granular para poder administrar preferencias. A este respecto se considera que la información ofrecida sobre las herramientas proporcionadas por varios navegadores para configurar las cookies sería complementaria a la anterior, pero insuficiente para el fin pretendido de permitir configurar las preferencias en forma granular o selectiva

Es decir que la propia AEPD ya nos está diciendo cómo configurar las cookies:

1.- Consentimiento explícito (como no podía ser de otra forma) con posibilidad de aceptar todas o rechazar todas las cookies.

2.- Consentimiento granular: es decir que sea posible elegir unas sí y otras no (a lo mejor no me importa que se hagan estadísticas de mi navegación pero sí me importa que me inserten cookies de terceros con fines comerciales)

3.- Información y transparencia: informar siempre y dejar claro qué cookies hay y que sea el usuario el que pueda elegir.

Abro aquí un paréntesis: puesto que «Internet somos todos», yo siempre pienso, no ya en los que nos dedicamos a esto, sino en los usuarios que todavía no saben para qué sirven las cookies (que son muchos, ojo). Si hasta la fecha creo que no he conocido a nadie (salvo insisto, los del gremio) que no le dé al «seguir navegando» o «aceptar cookies» sin leer ni una línea, me pregunto cómo explicarles, claramente, qué cookies hay, cuáles son necesarias y cuáles no, cuáles son de terceros y para qué sirven para que, con toda la información puedan aceptarlas o rechazarlas. Más de uno, ante un «pop up» amenazador con tres o cuatro botones saldrá de la página y dirá «quita, quita que me ha salido una cosa muy rara». Una vez más, habrá que ir educando al consumidor.

Hasta la fecha, todas las denuncias sobre el tema habían dado lugar a un «apercibimiento» como mucho por parte de la Agencia Española de Protección de Datos; algo así como un tirón de orejas con propósito de enmienda. Parece que la racha ha terminado y toca ponerse las pilas.

Entre la esperada guía, las sanciones y estas pautas (además de lo que han ido marcando otras autoridades de control de otros países) ya no tenemos excusa para ponernos manos a la obra…

Así que, si no quieres cookies… no te las comas.

Paz Martin

11 de octubre de 2019

#losdetallesimportan

La privacidad en el puesto de trabajo

La seguridad empieza por quienes tratan la información: los empleados

Un día cualquiera, en una oficina cualquiera.

Nos paseamos por los puestos de trabajo. Es la hora de comer pero tenemos una reunión. Los ordenadores están encendidos y se ven las pantallas. Las mesas tienen documentos y papeles. Muchas notas en post its. Nos acercamos: un listado de clientes por aquí, un par de nombres con sus respectivos teléfonos por allá. En algunos casos, incluso alguna contraseña… En alguna esquina, normalmente cerca de la impresora se acumula una pila de «papel sucio»: dicen que les da pena tirarlo y lo utilizan para «notas». Le damos la vuelta, son emails de trabajo, informes, facturas que no valen… En la propia impresora se acumulan documentos que todavía no han sido recogidos…

Lo que acabamos de describir no es extraño. De hecho es bastante frecuente encontrarlo en pequeñas, medianas y grandes empresas. Probablemente en estas empresas hicieron los deberes e iniciaron el camino de adaptación al Reglamento General de Protección de Datos (RGPD). Deseablemente existirán medidas de seguridad para proteger la información. Seguramente exista un responsable informático, de calidad o de seguridad que vea estas cosas y se tire de los pelos…

Y es que cuando hablamos de seguridad, aunque tengamos que hacer planteamientos holísticos que requieren a menudo inversiones y medios, también tenemos que mirar hacia dentro, hacia el último eslabón y erradicar las malas prácticas que se arrastran normalmente por pura comodidad. Como me tengo que levantar muchas veces, no bloqueo el ordenador; es que nos tenemos que aprender tantas contraseñas que se me olvidan; es que nos da pena tirar el papel sucio… En definitiva, sin malas intenciones y sin reparar en las consecuencias, abrimos «agujeros negros» y exponemos la seguridad y la confidencialidad de la información a riesgos innecesarios y fácilmente evitables.

¿Qué hacer?

Podemos hacer muchas cosas, algunas de ellas un poco impopulares porque son incómodas. Aquí algunos consejos:

1.- Concienciar. Si nuestros empleados y colaboradores no entienden que las malas prácticas suponen un riesgo, no moverán un dedo para solucionarlas. Hay que contarlo a través de formación presencial u online. Suena muy reiterativo pero a fuerza de insistir, las personas terminan mentalizándose. Los números son elocuentes: en una plantilla formada y concienciada existe un riesgo mucho menor por ejemplo de que se abran correos maliciosos.

2.- Establecer políticas y normas. Redactar una política que incluya unos mínimos tendrá dos efectos:

  • Transmitir de forma clara cuáles son las normas internas en materia de seguridad.
  • Demostrar en caso de incumplimiento que hemos establecido «reglas»

3.- Automatizar procesos: bloqueo automático a los pocos minutos, cambio de contraseñas periódico, buzones personales en las impresoras, monitores bien orientados en puesto de paso o de atención al público… Pero también poner destructoras y buzones cerrados para la destrucción confidencial de información. Tal vez sea molesto al principio pero son mínimos irrenunciables. Todo aquello que se pueda configurar «por defecto», hágase. Si esperamos que las personas lo hagan voluntariamente, con el tiempo, no se hará.

4.- Vigilar el cumplimiento. Si nadie denuncia estas situaciones, no se corregirán. Y si se producen, insistir en la formación. En el peor de los casos y ante incumplimientos muy graves la legislación laboral tiene respuestas. Probablemente no hará falta, pero habrá que señalar las cosas que se hacen mal y corregirlas.

5.- Suprimir el papel. En la medida de lo posible, ya que no en todos los negocios es viable. El planeta nos lo agradecerá y evitaremos que en la vida de un documento en papel desaparezcan los múltiples riesgos asociados: dónde se guarda, quién accede, cómo se destruye, etc. Si el papel es imprescindible que sea el mínimo, que tenga su lugar de almacenamiento (a ser posible con llave) y normas claras de uso.

Se dice constantemente que, en seguridad, el eslabón más débil de la cadena siempre es el usuario. No lo descuidemos. Ayudemos entre todos a crear un entorno seguro. Todos los días surgen nuevas amenazas: informemos de ellas y demos herramientas para detectarlas.

La responsabilidad proactiva que nos exige el RGPD empieza por aquí…

Madrid, 2 de octubre de 2019

Paz Martin

LEGAL THINGS ABOGADOS

Cuantos más datos personales mejor: cuando los perfiles son necesarios

El Reglamento UE 2016/679 General de Protección de Datos está aquí para proteger nuestros datos pero no para impedir usarlos.

Este blog aborda las cuestiones más prácticas de la protección de datos y hablamos de eso; de proteger los datos, de cómo limitar para que no se hagan cosas que no se deben con los datos de salud o de preferencias, de cumplir con el RGPD y la minimización etc etc.

Sin embargo, nos olvidamos de cuántas cosas estupendas se pueden hacer si se recogen muchos datos y si son sensibles mejor. Me refiero a las situaciones de extrema dependencia, cuando uno no se puede defender y tiene que ser otra persona (a veces una fría institución tutelar) la que decida según qué cosas.

Hablo desde la experiencia personal: llevo años a cargo de una persona que no puede comunicarse, que depende al cien por cien de los demás y que no puede elegir si siquiera lo que come o si tiene frío o calor: si quien le viste tiene frío, toca abrigarse. Tampoco puede elegir qué programa ver en la televisión y si  quien le pone frente a la tele le gusta el fútbol o los culebrones, pues se los traga… aunque algún día los odió.

Qué decir de datos de salud que los historiales médicos no recogen (montones de detalles que no aparecen en los historiales médicos) o incluso preferencias sexuales o incluso cuestiones tan privadas como haber sido víctima de violencia de género… Y no queda nadie que lo pueda advertir.

En los historiales médicos no pone claramente si la persona habla, entiende o si puede tragar. Si nadie le acompaña en una urgencia… el problema se agrava.

Quiero decir con esto que puede llegar un momento en nuestras vidas en las que saber (y que sepan quienes nos cuidan) si nos gusta o no el pescado, si odiamos los toros o si nos encanta el olor a lavanda puede ser lo único que nos conecte con nuestra vida “normal” anterior. Muchos familiares de personas dependientes o con demencias me entenderán. A veces son pequeños detalles que hacen que esa persona conecte. O simplemente podamos arrancarle una sonrisa porque ha acariciado a un perro y ya no recuerda que adoraba a los animales…ni mucho menos que los tuvo y sus nombres…

Recopilar datos en estas situaciones puede ayudar mucho: se trata de dignidad, se trata de personalizar los tratamientos y hacerlos más humanos, se trata de no tener que contar la historia de la vida de esa persona “cada vez” que visitas un hospital o un centro asistencial. Se trata de ser humanos. La línea es delgada y se trata de uniformarnos a todos con un pijama y un puré o hacernos nuestros últimos años una continuación de lo que fuimos. ¿Cómo conseguirlo? Con datos, con información. Y todos nos echamos las manos a la cabeza cuando oímos de perfiles, de gustos y aficiones pero acaso no nos gustaría que en situaciones como las descritas, alguien hiciera sonar nuestra música favorita o nos vistiera como nos gustaba vestirnos?

El tratamiento de datos se justifica por la finalidad: hay miles de usos maravillosos que nos harán la vida mejor y más fácil. Si yo falto algún día sé que a mi padre le afeitarán, nadie le pondrá sus gafas y su gorra y le meterán la cuchara grande hasta el gaznate porque nadie sabrá quién fue ni cuál fue su identidad.

Por eso, tal vez deberíamos reflexionar sobre quién y cómo queremos que tenga nuestros datos y sobre todo si perdemos la memoria y no nos valemos por nosotros mismos, que alguien sea consciente que sobre esa cama, silla de ruedas o bajo esa máscara de oxígeno hay un ser humano con sus características, preferencias y en definitiva su perfil, un perfil, que a lo mejor, algún día, es lo único que queda para poder recordarnos lo que en su día fuimos…

He conocido a unas personas que están trabajando en una iniciativa maravillosa que tiene que ver con esto. No existe nada al respecto. Y no es publicidad pero creo que si en vez de volvernos paranoicos con los datos ponemos las neuronas al servicio de los más débiles y pensamos cómo hacer cosas buenas, tal vez eliminemos esa “mala imagen” que los tratamientos exhaustivos de datos y los perfilados tienen.

Se llaman ENVITA y espero que su proyecto sirva para humanizar la vida de los mayores y de los dependientes en centros asistenciales.

Si a alguien le interesa, que me pregunte. De momento yo ya estoy escribiendo mi “proyecto de vida” por si algún día, alguien que no me conoce, me tiene que peinar por las mañanas y me tiene que recordar que yo escribía un blog.

Paz Martin
#losdetallesimportan

27 de mayo de 2019

Lo que hemos aprendido en un año de RGPD: la privacidad importa

De la desidia del dato a la catarsis colectiva

25 de mayo de 2018: ni un solo asesor de este país (y seguramente del resto de los países de la Unión Europea) durmió tranquilo. Es más, probablemente ni durmió. Aquello parecía una carrera contra reloj. Parecía que el filo de la guillotina sancionadora caería ese mismo día y el que no estuviera adaptado ardería en los infiernos de las autoridades de control…

Lo curioso fue que aquellos a los que la privacidad no les había importado hasta la fecha, fueron los que más prisa metieron a sus asesores para “adaptarse”.

Acciones masivas de petición de consentimiento (alguna innecesarias) enviadas el 24 de mayo por la noche, cláusulas informativas, contratos, registros de actividades de tratamiento, análisis de riesgos, políticas, procedimientos de brechas y derechos…

Y llegó el día 26, el 27…. Y no pasó nada… Ya lo sabíamos.

Bueno sí paso, pasó que por fin la privacidad importa. Y sólo por eso ha merecido la pena.
Hemos ganado en transparencia: ahora nos informan mejor y más claro (algunos se pasan y han convertido pequeños textos en verdaderos tratados de privacidad.
Hemos ganado en buenas prácticas :nos piden el consentimiento para todo, incluso cuando el consentimiento no es necesario…
El cumplimiento es un poquito más real que antes: ya no hablamos de carpetas y modelos cubiertos de polvo (físico o virtual pues pocas carpetas físicas se ven ahora). Ahora se trata de hacer las cosas bien, de que los datos se respeten, se conserven adecuadamente, se informe bien, se atiendan los derechos. No sólo que conste en algún documento…

Por fin la protección de datos ha trascendido el departamento legal o de informática de las empresas y se ha convertido en cosa de todos. Hemos ganado las personas.

Y más allá de las obligaciones establecidas en el RGPD y posteriormente en la Ley Orgánica 3/2018 de 5 de diciembre de Protección de Datos Personales y de garantía de derechos digitales, las empresas han tomado conciencia que los datos personales hay que protegerlos porque protegen derechos fundamentales: porque en un mundo tan hiperconectado, tan expuesto a través de Internet y redes sociales, donde nuestros datos se cruzan y hasta nuestro banco o Facebook sabe más de nuestros gustos que nosotros mismos… las personas seguimos teniendo nuestro reducto de intimidad que merece y debe ser protegido.

El RGPD también ha servido para concienciar a las personas de que una vez que difundan sus datos, a veces es difícil controlarlos, pero no imposible pues existen derechos. Y estos derechos tienen que ser satisfechos por aquellos que tienen nuestros datos.
No obstante, no cantemos victoria. Somos como somos y muchos hicieron los deberes y se han relajado. Y no, toca estar encima, revisar, controlar, auditar, mejorar.

No hay procedimiento de cumplimiento normativo que se precie que sea estático. Es más, es preferible ir poco a poco. La responsabilidad proactiva nos exige estar encima: no sirve hacer dieta un mes: hay que llevar una alimentación saludable. Los resultados a lo mejor no son inmediatos pero a largo plazo es infinitamente mejor.

Por eso, un año después debemos reflexionar:

1.- ¿Nos sigue importando la privacidad o nos lo tomamos como un trámite que había que cumplir? ¿Fue la dieta del bikini o un plan a largo plazo de cumplimiento real? El propio RGPd exige revisión y mejora continua así que más importante que haber corrido en el 2018 es seguir alerta, revisando y actualizando los tratamientos de datos.

2.- ¿Seguimos concienciando a nuestro personal de forma periódica? Una charla se olvida. Además, siempre hay aspectos de seguridad, de organización o de negocio que afectan a los datos personales sobre los que merece la pena insistir.

3.- ¿Hemos revisado cómo lo estamos haciendo? Un año después es buen momento. Aunque el RGPD ya no establece una periodicidad concreta en las auditorías, todos los sistemas de gestión de la seguridad de la información establecen controles anuales, mejor externos aunque lo importante es la revisión.

4.- ¿Estamos documentando la respuesta a la petición de derechos? Los derechos de las personas son importantes y garantizar su atención, prioritario.

5.- Tal vez es momento de actualizar el Registro de Actividades de Tratamiento. Muchas empresas se basaron en los ficheros que históricamente tenían declarados ante la Agencia Española de Protección de Datos pero probablemente se pueda “profundizar” un poco más. La responsabilidad proactiva también exige reflexionar sobre esto.

6.- ¿Tenemos los mismos riesgos que el año pasado? También tenemos que actualizar el análisis de riesgos pues es posible que los de cumplimiento hayan disminuido pero existan otros nuevos. O incluso que podamos actualizar la valoración.

7.- ¿Hemos tenido alguna brecha de seguridad? En caso afirmativo ¿ha funcionado el procedimiento que establecimos? Si no hemos tenido brechas ¿estamos documentando las incidencias?

8.- ¿Existen tratamientos de datos personales nuevos? En caso afirmativo, ¿se informa desde la recogida y si procede, se solicita el consentimiento explícito? Según el tipo de datos y sus circunstancias, tal vez es necesario realizar una Evaluación de Impacto.

9.- ¿Se han firmado contratos con todos los proveedores con acceso a datos? Aunque si existían antes existe una moratoria hasta 2022, conviene que dichos contratos se actualicen al RGPD y sobre todo, en aquellos proveedores tecnológicos, que especifiquen las medidas de seguridad que van a garantizar la confidencialidad, integridad y disponibilidad de los datos a los que tendrán acceso por el servicio prestado.

10.- En definitiva, ¿nos sentimos cómodos con el sistema de gestión de la privacidad que hemos establecido? A lo mejor tenemos que hacer algunos cambios, actualizar responsabilidades, etc. Nada es inamovible. Lo importante es que…

#laprivacidadimporta

 

Mayo de 2019
Paz Martin
#losdetallesimportan

Canales de denuncias internas y denuncias anónimas en la nueva Ley Orgánica de Protección de Datos

En muchas empresas todavía choca la necesidad de contar con un canal de denuncias a través del cual los empleados, e incluso clientes y proveedores, puedan denunciar conductas contrarias a las leyes y a los códigos éticos.

La Ley Orgánica 3/2018 de 5 diciembre de Protección de Datos Personales y de garantía de derechos digitales (LOPDGDD) ha abordado específicamente este tema en lo que a los datos personales se refiere.

Estos canales de denuncias (pido perdón a aquellos que ya conozcan el porqué) son parte de los sistemas de cumplimiento normativo implantados a raíz de la modificación del Código Penal del 2015 (artículo 31 bis). En dicha modificación y con respecto a la posible responsabilidad penal de las personas jurídicas (sí las empresas también pueden ser responsables penalmente), sólo la implantación de un plan de prevención de riesgos penales y cumplimiento normativo  eficaz (modelos de organización y gestión según el texto del propio artículo) eximiría a la persona jurídica de la responsabilidad derivada de los delitos cometidos por sus trabajadores en su nombre. Esto es lo que se conoce como «compliance«.

Estos planes de prevención de riesgos penales (muy arraigados en el mundo anglosajón desde hace tiempo, pero muy recientes en nuestro sistema jurídico) incluyen canales de denuncias. Estos canales facilitan la puesta en conocimiento de la propia entidad si alguien comete un delito (u otra violación normativa o de código ético) con todas las garantías de confidencialidad y sin miedo a represalias.
Es decir, que si en mi empresa me entero que el Director Financiero está metiendo la mano en la “saca” pueda comunicarlo sin miedo al despido. ¿Fácil verdad?

Siendo como somos latinos y con una cultura del chivatazo vista como algo negativo, los canales de denuncias no suelen recibir muchas denuncias. Cuando se trata de cosas “graves” los empleados suelen temer por sus represalias y es comprensible que prime el interés personal en conservar el empleo o la tranquilidad por encima de convertirse en el “Quijote” de la entidad.

En la mayoría de las ocasiones, “radio macuto” funciona incluso mejor, especialmente si se trata de conductas en las que el denunciante sólo pone en conocimiento de la empresa la conducta ilícita y no es “víctima” directa de la misma. Si alguien se entera de que un delito, lo suelta en un círculo de confianza y tarde o temprano la información llega donde tiene que llegar… (esto es básicamente radio macuto que carece de garantías de cómo llegue la información. Es ilustrativo acordarse del juego del “teléfono escacharrado” donde desde la primera noticia a la última, cada “informante” suele poner algo de su cosecha. Como juego es desternillante, en el ámbito empresarial, es nefasto.)

Ya en su momento el Grupo de Trabajo del artículo 29 (hoy desaparecido y sustituidas sus funciones por el Comité Europeo de Protección de Datos) emitió un informe sobre este tema y en concreto insistía en la necesidad de garantizar la confidencialidad de los datos tanto de denunciante como de denunciado y de la propia investigación. Residualmente y como último recurso, se admitía la posibilidad de que la denuncia fuera anónima cuando fuera imposible garantizar dicha confidencialidad.

Pero dicho informe del Grupo de Trabajo del artículo 29 cuyo carácter no era vinculante por los estados miembros, encontró en la Agencia Española de Protección de Datos una objeción sobre el posible anonimato, considerándolo contrario a la propia normativa. Existe un informe específico del año 2007 que ilustra esta afirmación.

Ahora bien, puesto que las cosas han seguido evolucionando, el RGPD ha irrumpido en nuestras vidas con energía y más que nunca se han homogeneizado los criterios, en la nueva Ley Orgánica 3/2018 de 5 de diciembre de protección de datos personales y de garantía de los derechos digitales ya se contempla expresamente la denuncia anónima. En particular en el artículo 24 que dice:

“será lícita la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad de Derecho privado, incluso anónimamente, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable.

Con lo cual, la restricción del anonimato desaparece.

En la práctica y tal y como están configurados la mayoría de los canales (direcciones de email, plataformas externas, etc) es prácticamente imposible denunciar de forma anónima, pues el origen del email siempre podría averiguarse. No obstante, a veces es la única forma de tomar conocimiento de delitos graves de los que un trabajador es conocedor porque trabaja en esa área específica en la que el delito se ha cometido.

El artículo 24 citado también contiene otras novedades, entre otras la constatación a través de la Ley Orgánica de:

  • Su licitud.
  • Del carácter restringido de la información que obre en el canal de denuncias (limitado a la propia investigación y control interno).
  • La obligación de garantizar la confidencialidad de la identidad de denunciantes y también de denunciados (cuidado con las denuncias falsas que pueden arruinar la reputación de una persona o crear falsos bulos).
  • La conservación durante el tiempo imprescindible y en general tres meses desde que se denuncia salvo que dichos datos sean necesarios para evidenciar el buen funcionamiento del propio canal de denuncias.
  • La posible anonimización de las denuncias no tramitadas sin que sea necesario el previo “bloqueo” establecido en la LOPDGDD como paso previo a la destrucción de los datos.

De lo que se trata en definitiva es

a) Que el canal de denuncias garantice la confidencialidad y permita la denuncia anónima.
b) Que en el canal de denuncias no se conserven datos personales más tiempo del imprescindibles (tres meses).
c) Que los registros antiguos se pueden anonimizar.
d) Y si es necesario guardar los datos porque se ha puesto en marcha una investigación, no deberían conservarse en el propio canal sino en aquél entorno donde se esté llevando a cabo la investigación.

Y por supuesto, el canal de denuncias tendrá que estar recogido como «actividad de tratamiento» en el propio registro de actividades de tratamiento de la entidad.

El compromiso con el cumplimiento normativo es un paso más que las empresas han adoptado no sólo para «eximirse» o mitigar su responsabilidad frente a una posible sanción, sino dentro de un marco de ética y de responsabilidad social a través de los cuáles, entre todos, podemos construir una sociedad mejor.

Paz Martín

#losdetallesimportan

26 de abril de 2019

La nueva ley de secretos empresariales y la protección de datos ¿algo en común?

Hoy 21 de febrero se ha publicado la Ley 1/2019 de Secretos empresariales.

Esta Ley supone la trasposición de la Directiva (UE( 2016/943 relativa a la protección de los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales)contra su obtención, utilización y revelación ilicítas.

Una norma que nos hace falta y cubre un «hueco» hasta ahora regulado en acuerdos de confidencialidad y no mucho más. Cuando llegaba la hora de defender un «secreto empresarial» la vía era la competencia desleal y con dificultades.

La Ley, en sintonía con la Directiva, nos aclara conceptos:

Qué es un secreto empresarial:

Cualquier información o conocimiento, incluido el tecnológico, científico, industrial, comercial, organizativo o financiero.

Qué requisitos tiene que cumplir:

1.- Ser secreto. Parece obvio pero tiene que ser algo que no es conocido por todo el mundo ni fácilmente accesible.

2.- Tener un valor empresarial, precisamente por ser secreto.

3.- Haber sido objeto de medidas razonables por parte de su titular para mantenerlo en secreto.

Y he aquí en este tercer punto, las «medidas razonables» donde tenemos recorrido pues la ley nada dice al respecto.

En contenido de la ley desarrolla las acciones de defensa de los secretos empresariales: acciones, medidas cautelares, diligencias, cómo tratar la información en los procedimientos (lo cual no es baladí si tenemos en cuenta que en los propios procedimientos se podrían vulnerar los secretos), etc.

Sin embargo, ¿qué tendría que hacer un empresario para proteger sus secretos empresariales?

Es aquí enlazamos con nuestro tema favorito: la protección de datos.

¿Puede una base de datos personales ser un secreto empresarial? 

Que se lo pregunten a cualquier empresa. A veces el mayor valor de la empresa son sus clientes.

¿Y qué hay que hacer para considerarla secreto empresarial?

1.- Es realmente un secreto según la definición que nos da la ley?

2.- ¿tiene valor comercial?

3.- ¿Qué estamos haciendo para protegerla?

Porque si cualquiera puede acceder, copiar, extraer. Si a nadie se le ha dicho que eso es secreto, si ese conjunto de datos carece de valor etc… difícilmente podremos invocar la nueva Ley y sus acciones.

¿Y qué tiene que hacer un empresario para proteger sus secretos? ¿Cuáles son esas medidas razonables para mantener el secreto?

El Reglamento UE 2016/679 General de Protección de Datos (nuestro querido RGPD o GDPR) nos sirve de referencia así como los esquemas de seguridad de la información ya existentes.

Apuntamos algunas ideas:

  • Clasificación de la información
  • Accesos restringidos: físicos y lógicos
  • Políticas de gestión de soportes y traslado de información
  • Políticas de uso de herramientas informáticas (ojo, y de papel y otros soportes)
  • Ciberseguridad: dónde está la información, cómo está protegida, si está cifrada, qué proveedores acceden a ella, dónde están esos proveedores…
  • Acuerdos de confidencialidad donde expresamente se objetive la información protegida
  • Políticas de copias de seguridad
  • Políticas de transmisión de la información a través de redes de telecomunicaciones: establecer restricciones al envío por correo electrónico de ciertas informaciones
  • Formación del personal
  • Revisiones periódicas, controles y auditorías
  • Y en definitiva… un largo etcétera que forma parte de un plan director de seguridad de la información que toda empresa (pequeña o grande) debería tener para proteger esa información y que lo forman ese conjunto de procedimientos, medidas y controles.

Está todo inventado. Si queremos proteger la información crítica de nuestros negocios y considerarla «secreto empresarial» no podemos conformarnos con decir simplemente «esto es secreto». Debemos trabajar en su protección y herramientas existen para que sea eficaz.

¿Podemos ayudarte?

21 de febrero de 2019

Paz Martin

#losdetallesimportan