Seguridad en internet

Para dar cumplimiento a las previsiones del artículo 9 de la LOPD, son de gran utilidad las recomendaciones publicadas por la Agencia Española de Protección de datos, que se relacionarán a continuación en el presente artículo, y en lo relativo a la navegación por internet y al uso del correo electrónico por parte de los usuarios.

Según el referido artículo 9.1, “El responsable del fichero, y, en su caso, el encargado de tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.”

Este es el listado de recomendaciones que ha publicado la AEPD:

RECOMENDACIONES A USUARIOS DE INTERNET, 2009.

NAVEGACIÓN EN INTERNET

Los riesgos existentes al navegar a través de la red pueden ser numerosos. A la vista de los mismos, conviene tener presentes las siguientes recomendaciones:

1.      El equipo deberá protegerse adecuadamente utilizando para ello un software de antivirus y de seguridad específico.

2.      Debería configurarse de manera adecuada el software del navegador con las opciones de seguridad más restrictivas y eficaces.

3.      El software instalado en el equipo se deberá actualizar periódicamente con objeto de disponer en el mismo de la última versión, prestando especial atención al sistema operativo, al software antivirus, al propio navegador y a las opciones disponibles de seguridad.

4.      El intercambio y la entrega de datos de carácter personal deberá efectuarse, exclusivamente, en aquellos sitios que cuenten con protocolos seguros y en los que se respeten los principios previstos en la legislación en materia de protección de datos. En todo caso, antes de facilitar datos de carácter personal hay que asegurarse de que el sitio web dispone de política de privacidad y que en la misma consta, entre otra información en materia de protección de datos, la identidad y dirección del responsable y la finalidad con la que se recaban los datos, los cuales deberán ser los estrictamente necesarios para la finalidad de que se trate.

5.      El equipo deberá protegerse a través de una contraseña que restrinja el inicio de sesión y que impida que un tercero pueda acceder a él. Las contraseñas deberán mantenerse, por supuesto, en secreto, no revelándose a ningún tercero y no serán anotadas en lugares fácilmente accesibles.

6.      Deberá evitarse acceder a los sitios web a través de enlaces incluidos en mensajes de correo electrónico o en sitios web de terceros en los que no confiemos.

7.      Con objeto de evitar que se pueda realizar un seguimiento de las visitas efectuadas a otros sitios web, se borrarán del equipo periódicamente los archivos temporales y las "cookies", teniendo en cuenta que, en este último caso, el usuario puede configurar el navegador para evitar la grabación de las "cookies" en el equipo.

8.      La mayor parte de los navegadores incorporan sistemas de bloqueo de ventanas emergentes y de descarga de programas y archivos. Es recomendable mantener actualizado siempre su navegador.

9.      Deberán adoptarse las precauciones oportunas antes de proceder a la descarga de archivos asegurándose, antes de hacerlo, de la confianza o acreditación del sitio web desde el que se realizará.

10.  En aquellos equipos que no sean de uso personal, deberá desactivarse la opción que poseen los navegadores que permite el almacenamiento de las contraseñas o el guardar información relativa al inicio de las sesiones (usuario y contraseña). También se prestará especial atención para deshabilitar la opción de los navegadores que permite mantener un historial de direcciones web, nombres de usuarios y contraseñas con el fin de permitir su uso en la cumplimentación automática de formularios. Resulta especialmente conveniente que, al finalizar la sesión de navegación en esos equipos, se eliminen todos los archivos temporales, las "cookies" y el historial de Internet que se encuentra en el navegador.

11. En todo momento, habrá que estar atento para detectar si el equipo da señales de que ha sido instalado un software malicioso. Entre los signos que podrían indicar que este software se encuentra instalado en el equipo se encuentran los siguientes: la página principal u otros elementos de la configuración del navegador han cambiado, algunas páginas web no son accesibles, las ventanas emergentes aparecen de manera interminable, se han instalado nuevas barras de herramientas o el equipo funciona con gran lentitud.

USO DEL E-MAIL

El correo electrónico (e-mail) es el servicio de comunicación que ha alcanzado un mayor nivel de desarrollo en Internet, tanto a nivel de comunicación privada como en el ámbito de las relaciones profesionales y comerciales. En ese sentido, el mismo hecho de su éxito y nivel de utilización lo convierte en uno de los medios más utilizados de difusión de software malicioso y de contenidos no solicitados que pretenden tener una difusión masiva con un coste reducido para sus autores.

En todo caso, las recomendaciones relativas al uso del servicio de correo electrónico son las siguientes:

1.      Para acceder a su cuenta de correo electrónico, además de su código de usuario utilice una contraseña. Elija una contraseña que no sea una palabra de los idiomas más utilizados (una combinación aleatoria de letras mayúsculas y minúsculas, números y símbolos es una buena elección) y cámbiela de forma periódica. La contraseña debería contar con un mínimo de ocho caracteres y cambiarse al menos en una ocasión al año.

2.       No utilice la opción de "Guardar contraseña" que, en ocasiones, se le ofrece para evitar reintroducirla en cada conexión.

3.      Si no quiere hacer pública su dirección de correo electrónico, configure su navegador para que no se la facilite a los servidores Web a los que accede. Conviene tener en cuenta, antes de proporcionarlos, que tanto nuestra dirección de correo electrónico como el resto de datos que proporcionamos para su inclusión en un directorio o lista de distribución, son susceptibles de ser utilizados sin nuestro conocimiento para fines diferentes de aquellos para los que fueron suministrados.

4.      Sea consciente de que cuando envía mensajes de correo a una variedad de destinatarios, está revelando las direcciones de correo electrónico de los mismos que figuran en los campos "Destinatario" o "Con Copia (CC)" a todos los receptores del mensaje. Para evitarlo, puede incluir los destinatarios del mensaje en el campo "Con Copia Oculta (CCO)" de tal forma que ninguno de los receptores podrá acceder a la dirección de correo electrónico del resto de los destinatarios.

5.      Configure su programa de correo en el nivel de seguridad máximo. Si es Vd. usuario de correo web, decántese de ser posible por un proveedor de servicios que ofrezca análisis del contenido de los mensajes; Además, configure su navegador en el máximo nivel de seguridad posible.

6.      Mantenga actualizado su programa cliente de correo electrónico, su navegador y su sistema operativo.

7.      No abra los mensajes que le ofrezcan dudas en cuanto a su origen o posible contenido sin asegurarse, al menos, que han sido analizados por su software antivirus.

8.      Active los filtros de correo no deseado de su programa de correo electrónico.

9.      Procure no utilizar para usos personales la dirección de correo electrónico que le haya sido proporcionada en el marco de su relación laboral. Tenga en cuenta que, en algunos casos, los mensajes de correos de esas cuentas pueden ser monitorizados por la entidad responsable de las mismas. En todo caso, solicite ser informado de las limitaciones de uso establecidas así como de la posibilidad de que sea monitorizado el contenido del buzón de correo asociado.

10. Evite reenviar cadenas de mensajes.

11. Si ha de remitir mensajes a un conjunto de usuarios conocido, utilice, si su programa cliente de correo lo permite, las direcciones de grupo.

12.  Lea cuidadosamente las condiciones del servicio que su proveedor de correo electrónico ha de poner a su disposición, haciendo especial hincapié en todo lo referido a la obtención y uso de sus datos de carácter personal, así como los medios de los que dispone para garantizar la privacidad de sus mensajes.

13. Si va a enviar por Internet documentos privados, es conveniente utilizar sistemas que permitan el cifrado de su contenido.

Copias de seguridad

Por medio de sus resoluciones, la Agencia Española de Protección de Datos viene manifestando que las copias de seguridad constituyen uno de los cimientos de la disponibilidad de la información, es decir: la capacidad de acceder a la información tras ocurrir un hecho que provoque una interrupción no deliberada en los accesos a la información, bien sea por causas naturales, bien por mal funcionamiento de los sistemas o por otras causas.

Esa capacidad de recuperación de la información frente a una incidencia requiere, en primer lugar, de la disposición de una copia fiel de la información, que será factible en función de los procedimientos de copia de respaldo que se hayan implantado.

Igualmente, la eficacia de la reconstrucción requiere de la capacidad de volver a disponer de la estructura que alberga dicha información, de la de poder volver a reubicar los datos existentes, tarea que es asignada al procedimiento de recuperación de datos.

Se trata de dos procesos interdependientes, necesitando el uno del otro, y ambos en conjunto son imprescindibles para que sea real la capacidad de devolver el sistema al momento anterior al fallo con un grado adecuado de fiabilidad.

Todo ello implica en la práctica que los procedimientos sean definidos con un suficiente grado de detalle, requiriendo incluso la realización de pruebas de los mismos una vez definidos y  configurados.

Muy relacionado con todo lo anterior está el concepto de CONTINUIDAD DEL NEGOCIO, que si bien no encuentra mayor desarrollo en la normativa sobre protección de datos, sí cuenta con un profundo análisis en la ISO 27001, sobre establecimientos de sistemas de gestión de seguridad de la información.

Una interrupción en las operaciones de una empresa (por cualquier causa: terremotos, huracanes, incendios…) provoca que no se pueda operar. Los procesos vitales se ven afectados. Por ello no es posible entregar el producto final o prestar el servicio encomendado y por un tiempo no se puede seguir siendo proveedor confiable. Las estadísticas plantean que una empresa que deja de operar por espacio de diez días consecutivos, jamás se recuperará.

No sirven de mucho los planes estratégicos, ni los modelos de investigación de mercados, ni los sistemas de aseguramiento de la calidad, si no se tiene una metodología implantada que asegure a la cadena de suministros continuidad en el funcionamiento si ocurriera un desastre.

Así, después de la tragedia del 11 de septiembre de 2003, se ha popularizado y se ha convertido en una exigencia mundial que las empresas tengan implantado un Plan de Continuidad del Negocio (PCN) que le permita asegurar a terceros que son proveedores confiables.

Y no sólo los grandes desastres pueden ser fatales para la continuidad del negocio en cualquier empresa, sino también las pequeñas incidencias, como cortes del suministro eléctrico, fallos en internet u otras comunicaciones, defectos en equipos, virus, etc…

Las serias consecuencias de posibles interrupciones en las operaciones de la empresa pueden evitarse si se tiene un PCN.

El PCN es un documento que contiene procedimientos y lineamientos para ayudar a la recuperación y restablecimiento de procesos interrumpidos y recursos al estado de operación normal, en un tiempo prudencial. Se debe organizar en 6 fases:

-          FASE 1: BUSINNES IMPACT ANALYSIS: Consiste en identificar los procesos relacionados con apoyar la misión de la empresa y analizar con detalle los impactos en la gestión comercial del negocio si esos procesos fuesen interrumpidos como resultado de un desastre. Se trata de identificar áreas del negocio que son críticas, la magnitud del impacto de una interrupción y los requerimientos de tiempo para la recuperación del negocio.

-          FASE 2: GESTIÓN DEL RIESGO: Se evalúan las amenazas de un desastre, se pormenorizan las vulnerabilidades existentes, los potenciales impactos de un desastre, se identifican e implementan controles y se identifican escenarios de amenazas para los procesos esenciales de la empresa.

-          FASE 3: DESARROLLO DE ESTRATEGIAS: Se evalúan los requerimientos y se identifican las opciones para la recuperación de procesos críticos y sus recursos, en el escenario en que fuesen interrumpidos por un desastre.

-          FASE 4: DESARROLLO DEL PLAN DE REAUNUDACIÓN DE OPERACIONES: Se desarrolla un plan para mantener la continuidad del negocio, basado en las fases previas, por medio de procesos.

-          FASE 5: ENSAYO DEL PCN: Se efectúa el ensayo del plan, con miras a poder determinar su grado de precisión y actualización.

-          FASE 6: MANTENIMIENTO DEL PCN: se mantiene el PCN en un estado de preparación constante para que en caso de un desastre se pueda ejecutar minimizando las posibilidades de errores.

Art. 5º LOPD: Idioma

Se trata de plantear la cuestión de si es o no obligatorio facilitar en otros idiomas (inglés, por ejemplo, por ser un idioma universal) la información a que se refiere el artículo 5º LOPD, cuando se recogen datos a extranjeros que no hablan el idioma español.

Sobre la materia se ha pronunciado recientemente la Agencia Española de Protección de Datos en su informe nº 340/2010, debiendo llegarse a la conclusión de que si bien no es obligatorio por no exigirlo ninguna norma, sí es recomendable, atendiendo al espíritu de la normativa europea y española.

Así, en el citado informe se indica lo siguiente, como aspectos más relevantes:

1º. La consulta plantea si sería necesario para el cumplimiento de la obligación de información sobre el tratamiento de datos de carácter personal a los clientes de la consultante, ofrecer dicha información en versión inglesa, partiendo de que entre sus clientes figuran personas de habla no española, de acuerdo con lo dispuesto en la LOPD), y a su Reglamento de desarrollo.

2. Según el referido artículo 5, para que los afectados por el tratamiento de datos realizado por la consultante entren a formar parte de la base de datos propiedad de la entidad que realiza la consulta y que será la receptora de los datos, deberán haber sido previamente informados de:

- La existencia de un tratamiento de datos.

- La identidad y dirección del responsable del tratamiento.

- La posibilidad de ejercicio de los derechos de acceso, rectificación, cancelación y oposición, así como ante quién podrán efectuarse.

- La finalidad del tratamiento.

Esta información deberá facilitarse de modo que el afectado tenga un conocimiento inequívoco, expreso y preciso de la misma.

La información en la recogida de datos personales constituye uno de los principios de la protección de datos, un derecho del afectado y un complemento previo de la prestación del consentimiento, cuya omisión puede determinar un vicio del consentimiento para el posterior tratamiento de datos de carácter personal que origine la nulidad del mismo, siendo necesario para que el afectado pueda ejercer otros derechos que la LOPD le reconoce. Así se desprende del texto del artículo 5 al establecer la exigencia de que el mismo sea expreso, preciso e inequívoco.

3. El artículo 18 del Real Decreto 1720/2007, de 21 de diciembre establece que:

“El deber de información al que se refiere el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, deberá llevarse a cabo a través de un medio que permita acreditar su cumplimiento, debiendo conservarse mientras persista el tratamiento de los datos del afectado.

El responsable del fichero o tratamiento deberá conservar el soporte en que conste el cumplimiento del deber de informar .Para el almacenamiento de los soportes, el responsable del fichero o tratamiento podrá utilizar medios informáticos o telemáticos. En particular podrá proceder al escaneado de la documentación en soporte papel, siempre y cuando se garantice que en dicha automatización no ha mediado alteración alguna de los soportes originales.”

4. En relación con la concreta cuestión que plantea el consultante referida a si la información debe facilitarse en inglés teniendo en cuenta que entre sus clientes los hay que no son de habla hispana, la normativa sobre protección de datos no recoge esta obligación específica, por lo que puede resultar conveniente acudir al espíritu y finalidad del artículo 5 de la LOPD.

Puede acudirse para ello al Punto VI del Dictamen WP 100 sobre una mayor armonización de las disposiciones relativas a la información, de 25 de noviembre de 2004, del Grupo del Artículo 29.

De acuerdo con el referido Documento, adoptado en el seno del Grupo del artículo 29, la armonización del derecho a la información se basaría en los dos siguientes principios:

a) “Apoyo al principio de que la información proporcionada a los interesados debería utilizar un lenguaje y una presentación fáciles de entender. La comprensión por parte de los interesados constituye un objetivo importante, de manera que puedan adoptar decisiones con conocimiento de causa y dispongan del conocimiento y la comprensión necesarios para influir en las prácticas de los responsables del tratamiento de datos y de los encargados del mismo. En este contexto, es importante garantizar que la información se proporciona de manera adecuada a las personas con necesidades específicas (por ejemplo, a los niños).

b) Apoyo al concepto de un formato de múltiples niveles para los avisos destinados a los interesados. Los avisos de múltiples niveles pueden contribuir a mejorar la calidad de la información recibida sobre la protección de datos centrando cada nivel en la información que la persona necesita para comprender su posición y adoptar decisiones. En aquellos casos en que el espacio o el tiempo de comunicación sea limitado, los formatos de múltiples niveles pueden mejorar la legibilidad de los avisos”.

En función de todo lo señalado, atendiendo a las circunstancias específicas de las personas clientes de la consultante, parece que el ofrecimiento de la información del artículo 5 de la LOPD no sólo en español, sino en un idioma ampliamente conocido como es el inglés, constituye sin duda una manera más adecuada e inequívoca de llevar a cabo la información.

Videovigilancia y control laboral

Según la definición de dato de carácter personal que hace el artículo 5.1.f) del RLOPD, hemos de partir de que las imágenes se consideran datos de carácter personal, al poder serlo cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.

El artículo  2 de la instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, se remite en cuanto a la legitimación para el tratamiento de imágenes a lo dispuesto en el artículo 6.1 y 2 de la LOPD, donde se establece que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”, sin perjuicio de que dicho consentimiento podrá quedar excluido, de acuerdo con lo dispuesto por el artículo 6.2 cuando el tratamiento sea necesario para el adecuado desenvolvimiento de la relación laboral de los trabajadores con la empresa.

Si la finalidad de la captación de las imágenes es controlar la actividad laboral, hay que estar al artículo 20.3 del el Real Decreto Legislativo 1/1995, de 24 de marzo, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (en adelante ET) y que dispone que “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso”.

Además, conforme a la doctrina del Tribunal Supremo, en Sentencia de 18 de junio de 2006, dichas medidas (como las relacionadas con la utilización de Internet y correo electrónico) deben haber sido hechas constar expresamente al trabajador, pasando así a formar parte de la propia relación laboral y siendo el tratamiento de los datos necesario para su adecuado desenvolvimiento.

De todo ello se desprende que la aplicación del artículo 20.3 ET no legitima por sí solo el tratamiento de las imágenes, si bien éste será posible, aún sin contar con el consentimiento del afectado en caso de que el trabajador haya sido debidamente informado de la existencia de esta medida, debiendo además ser claro que, conforme a lo exigido por el artículo 4.2 LOPD, los datos no podrán ser utilizados para fines distintos.

Se plantea la cuestión de cómo ha de cumplirse el deber de informar, pues el tratamiento de las imágenes por el responsable del tratamiento, le obliga a cumplir con dicho deber, en los términos establecidos en el artículo 5.1 de la LOPD, que dispone que “los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información; b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas; c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos; d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición; e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.

En  este punto debe tenerse en cuenta la modalidad de cumplimiento del deber de información en materia de videovigilancia que recoge el artículo 3 de la Instrucción 1/2006:

 “Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en el artículo 5 de La Ley Orgánica 15/1999, de 13 de diciembre. A tal fin deberán:

a)     Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y

b)     Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.

El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción.”

Por tanto, la Instrucción prevé dos formas de cumplir con el deber de informar en materia de videovigilancia. Además como se ha señalado anteriormente si la videovigilancia se efectúa para el control laboral, amparado sólo en el Estatuto de los Trabajadores, deberá informarse al trabajador y al comité de empresa.

¿Se me aplica la LOPD?

Como te diría cualquier abogado que se precie:

Eso DEPENDE.

Muchos amigos me preguntan alarmados que si ellos deben cumplir la LOPD por el hecho de tener en su móvil los teléfonos de sus amigos, parejas, padres, hermanos y demás familia.

No, no tienen que cumplirla, porque la LOPD no se aplica a aquellos datos que se usen por personas físicas para sus actividades personales o domésticas.

Tampoco se te aplica si los únicos datos que tratas son los relativos a personas jurídicas (empresas, asociaciones, fundaciones, sociedades, profesionales autónomos…), siempre y cuando se limiten a los datos puramente corporativos, como denominación social, domicilio, teléfono, fax y e-mail profesionales, personas de contacto dentro de una empresa, etc…

Hay también algunas excepciones más específicas, que serán tratadas en otra ocasión.

Pero en la mayor parte de los casos, si ejerces alguna actividad profesional, la LOPD tendrá que serte aplicada con todas sus consecuencias.

Y por supuesto, no se te aplicará la LOPD si no recoges ni tratas ningún dato de carácter personal.

Pero claro, para tener un negocio y ser capaz de no recoger ni tratar ningún dato de carácter personal, hay que ser muy muy bueno.

Y muy muy buenos ya casi no quedan.

Aunque haberlos, haylos…

Adaptación obligatoria a la LOPD

Si tienes una empresa, negocio, eres un profesional  y tratas datos de tus clientes (si les realizas cualquier trabajo o le prestas cualquier servicio y les emites facturas ya estás tratándolos, que no te quepa la menor duda; y si tienes trabajadores, igualmente estás haciendo tratamiento de sus datos para regular vuestra relación laboral), estás obligado a adaptarte a la legislación sobre PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL.

Dicha legislación se contiene fundamentalmente en dos normas:

      

      1. La Ley Orgánica 5/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD).

 

     2. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (RLOPD).

Incomprensiblemente, muchos empresarios y profesionales se siguen resistiendo a la adaptación, bien porque consideran que la normativa no les afecta (grave error) o bien porque no les preocupan las consecuencias de la falta de adaptación.

No cumplir los requisitos legales implica sanciones administrativas que oscilan entre los 900 y los 600.000 euros.

Se trata, en definitiva, de un requisito legal que tu empresa, negocio o actividad profesional tienen que cumplir, al igual que tantos otros. Su no observancia se equipara (aunque en muchos casos será incluso más grave, dado el elevado importe de las sanciones previstas) con la infracción de cualquier otra normativa (legislación fiscal, laboral, administrativa, etc…).