viernes, 25 de mayo de 2012

Datos biométricos


La cuestión de los datos biométricos preocupa a las autoridades europeas, ya que afecta de manera especial al derecho de protección de datos.
Se vienen utilizando tanto para el control de accesos, identificación y autenticación, como en la investigación forense y conllevan ciertos riesgos para la privacidad y los derechos de los afectados.

En nota de prensa reciente, se informaba de la adopción de  un Dictamen del Grupo de trabajo del artículo 29 sobre la materia.

El Grupo de Trabajo del artículo 29 es el grupo consultivo compuesto por representantes de las autoridades nacionales de protección de datos de los Estados miembros, el Supervisor Europeo de Protección de Datos y la Comisión Europea. Está facultado para examinar cualquier cuestión que esté relacionada con la aplicación de las directivas en materia de protección de datos para contribuir a la aplicación uniforme de las mismas. Desempeña sus funciones emitiendo recomendaciones, dictámenes y documentos de trabajo sobre todas aquellas cuestiones relevantes que afectan a la protección de datos personales.

Esta es la nota de prensa publicada en la web de la Agencia Española de Protección de Datos:


Nota de prensa

Bruselas, 9 de mayo de 2012

GRUPO DE TRABAJO DEL ARTÍCULO 29 SOBRE PROTECCIÓN DE DATOS


Las autoridades europeas de protección de datos representadas en el Grupo de trabajo del artículo 29 han adoptado un dictamen sobre los últimos desarrollos en materia de tecnologías biométricas. El dictamen proporciona un análisis jurídico actualizado del uso de datos biométricos y recomendaciones sobre mejores prácticas. Además, propone medidas técnicas y organizativas para mitigar los riesgos para la protección de los datos y la privacidad, y ofrece también orientaciones sobre cómo evitar las consecuencias negativas para la privacidad y el derecho fundamental a la protección de datos de los interesados.

Los datos biométricos se utilizan de manera satisfactoria y eficaz en la investigación científica, constituyen un elemento clave de la ciencia forense y son un valioso componente de los sistemas de control de acceso. Pueden ayudar a incrementar el nivel de seguridad y lograr que los procedimientos de identificación y autenticación sean más sencillos, rápidos y cómodos. Sin embargo, los sistemas biométricos utilizan propiedades únicas de los sujetos, como las huellas dactilares, los patrones venosos y el ADN. Aunque los datos biométricos de una persona puedan eliminarse o modificarse, la fuente de la que se extraen en general no puedo modificarse ni eliminarse. Por esta razón, las tecnologías biométricas plantean riesgos específicos para la privacidad y la protección de datos de los afectados.

Gracias a los avances tecnológicos, el coste del espacio de almacenamiento y la potencia de cálculo necesaria son menores. Estos han posibilitado la existencia de galerías de imágenes en línea y redes sociales que contienen miles de millones de fotografías, han permitido que los lectores de huellas dactilares y los dispositivos de videovigilancia se conviertan en aparatos baratos y, gracias a ellos, los análisis de ADN son más rápidos y económicos.

Cuando estas tecnologías biométricas, que generalmente están disponibles, se emplean sin las salvaguardas apropiadas, el derecho a la protección de datos de los afectados corre peligro. Además, existen gran cantidad de tipos de datos biométricos que pueden recopilarse sin la cooperación o el conocimiento por parte del interesado, como ocurre a través de los sistemas de videovigilancia y de reconocimiento facial, lo que podría facilitar que se produzcan numerosas violaciones de manera inadvertida.

En el dictamen se abordan las ventajas y los riesgos que se han mencionado anteriormente, así como otros desarrollos recientes. Las repercusiones jurídicas del uso de datos y sistemas biométricos se analizan desde un punto de vista general y de esta tecnología específica.  

miércoles, 23 de mayo de 2012

Derecho de cancelación


¿Se puede ejercitar eficazmente el derecho de cancelación a través de correo electrónico?



No, ya que la normativa exige que se lleve a cabo por un medio fehaciente, que deje constancia del envío y la recepción de la solicitud, así como de su contenido (cuestión distinta es que el receptor del e-mail lo acepte y proceda a la cancelación, obviamente).



En resolución de la Agencia Española de Protección de Datos de 8 de mayo de 2012, con nº TD/402/2012, se indica que:





TERCERO: El artículo 24.5 del Reglamento de desarrollo de la Ley Orgánica de Protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre dispone que:



“5. El responsable del fichero o tratamiento deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado aún cuando el mismo no hubiese utilizado el procedimiento establecido específicamente al efecto por aquél, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud, y que ésta contenga los elementos referidos en el párrafo 1 del artículo siguiente”.



CUARTO: En el caso que nos ocupa, el reclamante ha manifestado que se dirigió al responsable del fichero mediante correo electrónico, medio que no permite acreditar que se haya producido la recepción del mismo (acredita la transmisión, pero no la recepción del derecho solicitado), exigencia legal para que se entienda ejercido el derecho de cancelación y por tanto resulte obligada la respuesta del responsable del fichero (art. 24.5 del Reglamento de la LOPD, antes citado).



A mayor abundamiento, como recientemente ha señalado el Tribunal Constitucional en la STC 58/2010, de 4 de octubre, “…, la eficacia de los actos de comunicación procesal realizados a través de cualquier medio técnico se supedita a que quede en las actuaciones constancia fehaciente de la recepción, de su fecha y del contenido de lo comunicado, o lo que es igual, que

quede garantizada la autenticidad de la comunicación y de su contenido y quede constancia fehaciente de la remisión y recepción íntegras y del momento en que se hicieron.”



Por ello no puede entenderse que se haya ejercido en forma legalmente establecida el derecho del que se pretende la tutela de esta Agencia, al ser el ejercicio del derecho requisito previo necesario para poder iniciar dicho procedimiento.




lunes, 21 de mayo de 2012

Número de finca registral


¿Se puede considerar que el número de finca registral es un dato de carácter personal?



Nos dice la Agencia Española de Protección de Datos que, en efecto, lo es, como se puede comprobar en su informe nº 34 del año 2000.



Éste es su razonamiento:





Este concepto se confirma y se concreta tras la entrada en vigor del Reglamento que desarrolla la Ley Orgánica 15/1999, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, en el que se define tanto dato de carácter personal como persona identificable en el artículo 5.1 estableciendo que son “f) Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables. Y o) Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados.”



El artículo 8 de la Ley Hipotecaría establece que “Cada finca tendrá desde que se inscriba por primera vez un número diferente y correlativo.



Las inscripciones que se refieran a una misma finca tendrán otra numeración correlativa y especial.”



Continúa señalando el artículo 9 que “Toda inscripción que se haga en el Registro expresará las circunstancias siguientes:



1ª La naturaleza, situación y linderos de los inmuebles objeto de la inscripción, o a los cuales afecte el derecho que deba inscribirse, y su medida superficial, nombre y número, si constaren del título. (….)



2ª La naturaleza, extensión y condiciones, suspensivas o resolutorias, si las hubiere, del derecho que se inscriba, y su valor, cuando constare en el título.



3ª El derecho sobre el cual se constituya el que sea objeto de la inscripción.



4ª La persona natural o jurídica a cuyo favor se haga la inscripción.



5ª La persona de quien procedan inmediatamente los bienes o derechos que deban inscribirse.



6ª El título que se inscriba, su fecha, y el Tribunal, Juzgado, Notario o funcionario que lo autorice.



7ª La fecha de presentación del título en el Registro y la de la inscripción.

8ª La firma del Registrador, que implicará la conformidad de la inscripción, con la copia del título de donde se hubiere tomado.



Lo dispuesto en este artículo se entiende sin perjuicio de lo especialmente establecido para determinadas inscripciones.”



De todo lo expuesto podemos extraer la siguiente conclusión, el número de una finca registral, es el que se otorga a la inscripción de la finca, por lo que conociendo dicho número podemos conocer el contenido de la inscripción en el que aparecerá entre otro tipo de información; “la persona natural o jurídica a cuyo favor se haga la inscripción y la persona de quien procedan inmediatamente los bienes o derechos que deban inscribirse”. Por tanto enlazando este concepto con las definiciones previstas tanto en la Ley Orgánica 15/1999 y su reglamento de desarrollo, habrá de concluirse que el número de finca registral es un dato identificable.

sábado, 19 de mayo de 2012

Web de INTECO

Para temas de seguridad de la información y materias conexas, me gusta mucho esta web del Instituto Nacional de Tecnologías de la Comunicación.

Entre otras cosas, puedes suscribirte a sus boletines y alertas y saber cosas como ésta que verás si pulsas AQUÍ

jueves, 17 de mayo de 2012

Ficheros de morosos



La LOPD hace especial referencia a los ficheros de datos personales de empresas que se dedican a la información sobre solvencia patrimonial y crédito.

Nos referimos a los conocidos como “FICHEROS DE MOROSOS”.

Si esta es tu actividad, debes saber que la Ley y el Reglamento te imponen una serie de exigencias específicas.

En términos generales, indica el artículo 29 de la LOPD lo siguiente:

Artículo 29. Prestación de servicios de información sobre solvencia patrimonial y crédito.

1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento.

2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley.

3. En los supuestos a que se refieren los dos apartados anteriores, cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos.

4. Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos.

A parte de lo anterior, tu actividad tendrá que regirse –en lo que a materia de protección de datos se refiere- por las exigencias de los artículos 37 a 44 del RLOPD.


martes, 15 de mayo de 2012

Trabajadores y LOPD


El artículo 88 del RLOPD establece cuál debe ser el contenido mínimo del Documento de Seguridad. En su apartado 3.c) exige que se incluyan:

c) Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.

Asimismo, dentro de las medidas de seguridad de nivel básico, el artículo 89 establece lo siguiente:

Artículo 89. Funciones y obligaciones del personal.

1. Las funciones y obligaciones de cada uno de los usuarios o perfiles de usuarios con acceso a los datos de carácter personal y a los sistemas de información estarán claramente definidas y documentadas en el documento de seguridad.
También se definirán las funciones de control o autorizaciones delegadas por el responsable del fichero o tratamiento.

2. El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.


En la legislación de protección de datos, se toma conciencia sobre la importancia, dentro de cada organización, del personal que trata directamente los datos de carácter personal necesarios para el desarrollo de su actividad. De la actitud de los empleados depende muchas veces el éxito o fracaso de las medidas de seguridad que se han de implantar conforme al RLOPD .

En la empresa u organización, cada usuario que accede a datos de carácter personal debe ser informado sobre sus funciones y obligaciones en relación con esta normativa.

El responsable de fichero tiene la obligación de informar a su personal, de una forma comprensible, sobre las normas de seguridad que afecten al desarrollo de sus funciones, así como sobre las consecuencias en que pudiera incurrir en caso de incumplimiento.





domingo, 13 de mayo de 2012

Google Street View


La Agencia Española de Protección de Datos está preocupada por las campañas de captación de imágenes del Servicio Google Street View. Consecuencia de su preocupación es la publicación -en su web- de esta nota informativa en la que se deja constancia del requerimiento hecho a Google y de la respuesta al mismo:
 


NOTA INFORMATIVA SOBRE LA NUEVA CAMPAÑA DE
CAPTACIÓN DE IMÁGENES EN DIVERSAS PROVINCIAS
ESPAÑOLAS POR LOS VEHÍCULOS DEL SERVICIO GOOGLE
STREET VIEW

La compañía Google ha informado a la Agencia Española de Protección de Datos del comienzo de una nueva campaña de captación de imágenes en diversas provincias españolas para el servicio Street View.

Al objeto de garantizar el cumplimiento de la normativa de protección de datos por parte de Google en la captación de imágenes en diversas provincias españolas y el respeto a los derechos de los ciudadanos cuyas imágenes pudieran ser captadas, así como evitar sucesos como la problemática suscitada en el pasado por la captación y almacenamiento por equipos técnicos instalados en los vehículos StreetView de datos de localización de redes WI-FI y datos personales transmitidos mediante redes WI-FI abiertas, la AEPD, en el marco del análisis previo que está realizando sobre esta nueva campaña de recogida de imágenes, ha requerido a la compañía información sobre las características y términos en que se realizará la misma.

Entre otras cuestiones, la AEPD ha requerido a la compañía información sobre el tipo de datos que serán recogidos, la finalidad de la recogida, lugares y periodos de conservación de los datos personales recogidos en las imágenes, los procedimientos para anonimizar los datos personales (imágenes, matrículas…) antes de su publicación, y para su eliminación, así como información sobre los medios disponibles para que los ciudadanos puedan solicitar la eliminación de sus datos directamente ante la compañía.

Asimismo, la AEPD ha requerido a Google la inscripción en el Registro General de Protección de Datos de los ficheros de las imágenes y datos personales captados por Google para este servicio; el establecimiento -antes de la publicación de las imágenes de sistemas de anonimización y difuminado irreversible de los datos personales (imágenes, matrículas…) que sean captados por los vehículos; así como un medio a través del cual los ciudadanos puedan solicitar la cancelación o eliminación de sus datos personales recogidos en las imágenes una vez publicadas.

En respuesta a este requerimiento Google ha manifestado, entre otras cuestiones que:

• No captarán, en ningún caso, datos de localización de redes WI-FI, ni datos transferidos mediante las mismas.

• Antes de la publicación de las imágenes se aplicará una tecnología de difuminado permanente e irreversible aplicable a los rostros identificables y matrículas de vehículos.

• Ponen a disposición de los usuarios una herramienta mediante la que pueden comunicar e informar sobre cualquier imagen en la que aparezcan ellos, sus familias, sus coches o domicilios, para que se realicen nuevos difuminados, incluso si la imagen ya ha sido previamente difuminada. Esta herramienta es accesible a través del link en la parte inferior izquierda de todas las imágenes Street View.

En todo caso, la Agencia, en el ejercicio de sus funciones y potestades, realizará el seguimiento y las comprobaciones necesarias para verificar el cumplimiento de la normativa española de protección de datos y garantizar los derechos de los ciudadanos.
Related Posts Plugin for WordPress, Blogger...