Blog Protección de Datos

La AEPD registra más de 10.500 reclamaciones en 2017

ama · 23/03/2018 · Dejar un comentario

Madrid, 27 feb (EFE).- La Agencia Española de Protección de Datos (AEPD) ha registrado 10.571 reclamaciones en 2017 por denuncias de ciudadanos y tutelas de derecho, según datos facilitados por su directora, Mar España, quien ha valorado el impulso a la privacidad que ofrece el nuevo reglamento de protección de datos europeo.

Mar España ha comparecido hoy en la Comisión de Justicia del Congreso de los Diputados y ha destacado la relevancia de agilizar la tramitación del proyecto de ley español de protección de datos actualmente en tramitación parlamentaria para adaptar la legislación de este país al nuevo reglamento europeo.

Nuevo reglamento europeo de protección de datos

Ha recordado que dicho reglamento será de obligado cumplimiento para todos los Estados miembros a partir del 25 de mayo, y ha advertido de que las nuevas obligaciones sobre procedimientos transfronterizos en el tratamiento de datos personales supondrán cargas de trabajo añadidas para las agencias competentes, y que en el caso de la AEPD podrían «duplicarse o triplicarse».

Mar España ha explicado que las reclamaciones contra empresas con establecimientos en varios países de la UE o con servicios que afecten a ciudadanos de distintos territorios en la Unión implicarán para su gestión la participación de las autoridades de protección de datos de los territorios en donde opere la compañía, y en algunos casos incluso cuando la denuncia sea formulada fuera de ellos.

reclamaciones aepd 2017

Según la directora de la AEPD, esto supone un cambio trascendental respecto a los procedimientos actuales de gestión de las reclamaciones sobre privacidad de los ciudadanos, dado que hasta ahora cada autoridad de protección de datos actuaba por su cuenta en su propio territorio y sin embargo ahora se exige cooperación de todas ellas en ciertos casos.

Puede ocurrir que incluso una agencia de protección de datos se vea obligada a liderar el proceso de resolución de un procedimiento aunque la denuncia haya sido formulada por un ciudadano de otro país europeo distinto al de dicha autoridad.

Derecho al olvido en Google

Por ejemplo en el caso de Google, si un ciudadano español presenta una reclamación sobre derecho al olvido en España, ésta será trasladada por la Agencia española de datos a la de Irlanda, que es donde supuestamente estaría el establecimiento principal de la tecnológica en la UE.

A continuación, la autoridad de protección de datos irlandesa lideraría el proceso pero con la colaboración del resto de agencias implicadas, que en este caso serían todas las de la UE dado que Google opera en toda la Unión.

Durante la comparecencia se ha destacado el cambio trascendental que implicará el nuevo reglamento europeo respecto a cómo deben tratarse legalmente los datos personales por parte de las empresas para garantizar una mayor privacidad, con la exigencia inequívoca del ciudadano de que realmente acepta el tratamiento de datos personales por parte de terceros para uso propio.

Las sanciones por incumplimiento del mismo alcanzarán cuantías de hasta 20 millones de euros o el 4 por ciento máximo del volumen de facturación anual global de la empresa.

fuente: La Varguardia

Facebook quiere verificar que sus productos cumplen con la normativa Europea de protección de datos

ama · 13/03/2018 · Dejar un comentario

Privacidad de Facebook y protección de datos

Facebook quiere asegurarse de que todos sus productos y servicios se ajustan al reglamento de protección de datos europeo y la próxima semana hará una prueba para comprobarlo con el envío de información individualizada a un reducido grupo de usuarios sobre opciones disponibles relacionadas con la privacidad.

La próxima semana “lanzaremos una prueba limitada sobre algunas de las opciones adicionales” en materia de privacidad para los usuarios, con “más detalles de cómo funcionan nuestros servicios” para cumplir con el nuevo reglamento europeo de protección de datos, ha explicado a Efefuturo Rob Sherman, responsable de privacidad de Facebook.

Aunque todos los usuarios de Facebook en la UE terminarán visualizando esa información, se comenzará con un pequeño porcentaje de personas para estar seguros de que todo funciona correctamente, ha añadido.

Facebook es una de las muchas organizaciones que ultima detalles para adaptarse al Reglamento General de Protección de Datos (RGPD) de la UE que será de obligado cumplimiento a partir del 25 de mayo para las empresas de todos los Estados miembros y aquéllas ubicadas fuera si prestan servicios en la Unión Europea.

Información en los perfiles de Facebook

Como parte de la prueba, se pedirá a las personas que hayan elegido previamente compartir en sus perfiles información sobre política, religión y otros intereses que comprueben si quieren continuar compartiéndola.

Se les preguntará si desean que la plataforma utilice algunos de estos datos para personalizar contenidos o mostrarles anuncios. Siempre se podrá optar por editar o borrar esta información.

Los usuarios podrán manifestar si les agrada la publicación de esos datos, si quieren mantenerlos o no y se les explicará cómo usa la plataforma su información.

Por otra parte, el usuario podrá elegir si habilita la opción del reconocimiento facial no disponible previamente en la UE.

Reconocimiento facial y protección de datos de carácter personal

Utilizar el reconocimiento facial en la plataforma es totalmente opcional: se puede optar por mantenerlo si lo especifica el usuario o no activarlo. Dichas opciones las decide la persona cuando quiere y puede modificar su opinión en cualquier momento, ha explicado el responsable de Facebook.

Ha precisado que quien elija mantener el reconocimiento facial será avisado cuando otra persona suba una foto suya como imagen de perfil. “Hacemos esto para evitar que las personas se hagan pasar por otros en Facebook”.

“Te informaremos si estás en una foto y eres parte del público, incluso si no te han etiquetado”; uno puede elegir etiquetarse, no hacerlo o comunicarse con la persona que publicó una foto concreta si tiene dudas al respecto.

También se intentará que las personas con discapacidad visual saquen partido a Facebook.

Hace dos años, la plataforma presentó una herramienta automática de texto alternativo que describe las fotografías a la gente con pérdidas de visión. Ahora, con el reconocimiento facial, las personas con discapacidad visual que utilicen lectores de pantalla sabrán quién aparece en las fotos de su “NewsFeed” aunque estos no estén etiquetados.

¿Sabias que es ilegal incluir en un grupo de WhatsApp sin el consentimiento?

ama · 05/03/2018 · Dejar un comentario

¿Utilizas WhatsApp habitualmente?, ¿Alguna vez te ha pasado que han incluido en un grupo sin haberlo solicitado?

Privacidad y whatsapp

Si te incluyen en un grupo de WhatsApp sin tu consentimiento es ilegal y puede conllevar a multas y sanciones a quien incluya tu número de teléfono.

Lo resolvió la Agencia Española de Protección de Datos con una resolución contra el Ayuntamiento de Boecillo, que creó un grupo en la app de mensajería e incluyó a 272 de los casi 400 vecinos que residen en el municipio, sin solicitar su aprobación.

Aunque la intención del creador y administrador del grupo de whatsapp (Ayuntamiento de Boecillo) era informar a los ciudadanos sobre actividades de interés colectivo, se vulneraba la privacidad de los usuarios, pues el teléfono de cada participante en el grupo es visible a los demás participantes.

Con el fallo, queda de manifiesto la ilegalidad de que te incluyan un grupo de WhatsApp sin tu consentimiento, basado en dos delitos: la vulneración del artículo 4 de la Ley Orgánica de Protección de Datos al utilizar datos personales para otros fines (el número de teléfono móvil); y una infracción del artículo 10 del reglamento relativo a la custodia de los datos personales.

Sanción por vulnerar la privacidad en whatsapp

Las instituciones públicas no pueden ser multadas pero sí amonestadas, mientras que los particulares y las empresas pueden llegar a pagar hasta 600.000 euros.

Así que ya lo sabes, mientras que la app de mensajería no introduzca mejoras como invisibilizar el número de teléfono de los participantes, antes de crear un grupo de WhatsApp pide consentimiento o puedes estar cometiendo una infracción sancionable por la LOPD!!!

Evaluación del Impacto (EIPD) en el nuevo Reglamento de Protección de Datos

ama · 27/02/2018 · Dejar un comentario

LA EVALUACIÓN DEL IMPACTO SOBRE LA SEGURIDAD DE LA INFORMACIÓN.

Principios de responsabilidad proactiva (ACCOUNTABILITY)

Necesidad de que el responsable del tratamiento aplique medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme al reglamento.

Actitud consciente, diligente y proactiva

¿Qué es una Evaluación de Impacto de Protección de Datos?

Una Evaluación de Impacto en la Protección de Datos Personales (EIPD) es un análisis del riesgo del tratamiento de los datos. El resultado de esta evaluación del impacto determinará cuales son las acciones que se deben corregir o implementar para asegurar una correcta gestión de los datos personales.

Protección de datos desde el diseño y por defecto (PxD y PdD)

El responsable del tratamiento aplicara tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas, apropiadas a fin de cumplir los requisitos del Reglamento y proteger los derechos de los interesados.

¿Qué?:
- Cuando el tratamiento de los datos entrañe un ALTO riesgo para los derechos y las libertades de los interesados.
¿Cuándo?:
- Con carácter previo al inicio del tratamiento.
¿Para Qué?:
- Para determinar las medidas técnicas y organizativas necesarias y adecuadas para velar por la seguridad de la información.

Seguridad de los datos personales

El responsable y el encargado del tratamiento aplicaran medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que, en su caso, incluya, entre otros:

La seudonimización y el cifrado de datos personales
La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanente de los sistemas y servicios de tratamiento

Consecuencias de no realizar la Evaluación del impacto correctamente

Si la AIPD es obligatoria y no se realiza, o se realiza de forma inadecuada o insuficiente los tratamientos de datos quedan expuestos a riesgos no detectados y en consecuencia no se hablan adoptado las medidas que se deberían utilizar para mitigar los efectos negativos que las operaciones del tratamiento pueden tener para los derechos y las libertades de las personas.

Si se producen impactos negativos puede suponer que el responsable o el encargado del tratamiento cometan infracciones como por ejemplo el incumplimiento de obligaciones o vulneración de principios, o no atender adecuadamente los derechos de las personas afectadas. Esto puede conllevar que se produzcan daños y perjuicios materiales o morales para las personas afectadas que conllevarían sanciones importantes a determinar según el tipo de infracción cometida y el perjuicio ocasionado.

¿Qué hay que hacer si una vez realizada la evaluación del impacto se llega a la conclusión que las operaciones de tratamiento previstos continúan suponiendo un gran riesgo?

Si la evaluación de riesgos relativa a la protección de los datos llega a la conclusión de que el tratamiento comportaría un alto riesgo por el hecho que el responsable del tratamiento no ha sido capaz de encontrar o incorporar medidas lo suficientemente efectivas para mantener controlados los riesgo es en un nivel aceptable, estaremos en la situación de que riesgo residual, el que queda después de haber previsto aplicar medidas para mitigar el riesgo inicial, continua suponiendo un riesgo inaceptable para los derechos y las libertades de las personas i los datos de las cuales se ha previsto tratar, se deberá realizar una consulta previa a la autoridad de control.

La consulta se deberá realizar por escrito i la autoridad de control la deberá contestar por escrito en las 8 semanas siguientes a la fecha de la consulta, pudiéndose ampliar el plazo de respuesta a 6 semanas más en función de la complejidad del tratamiento de los datos.

Revisión de la evaluación del impacto

El tratamiento de datos personales en su conjunto, o bien cada una de las operaciones de procesamiento de la información que conforman un tratamiento, pueden variar a lo largo del tiempo. Estos cambios en relación con la situación inicial de tratamientos pueden afectar a los riesgos o a las medidas previstas para mitigar los riesgos i por eso hay que establecer mecanismos de revisión de las evaluaciones.

El responsable del tratamiento debe revisar la vigencia de la evaluación inicial cuando se produzcan cambios relevantes en el tratamiento, especialmente si estos cambios pueden implicar una variación de riesgos detectados o de las medidas adoptadas, como, por ejemplo, cambios en las medidas de seguridad, un tiempo superior de retención de los datos, cambios normativos, etc.

La documentación relacionada con las Evaluaciones del Impacto ha de estar a disposición de las autoridades de supervisión, es decir, no solo el informe final, sino también el conjunto de documentos de trabajo que se tienen que utilizar para realizar la evaluación y que sustentan las decisiones tomadas.

Contacte con nosotros para ampliar información o solicítenos un presupuesto sin compromiso y nos pondremos en contacto con su empresa.

El sector sanitario tendrá que aplicar el nuevo reglamento europeo de protección de datos

ama · 26/02/2018 · Dejar un comentario

El sector sanitario tendrá que aplicar en breve el nuevo reglamento europeo de protección de datos, una norma que fue aprobada en 2016 y que entrará en vigor en España el próximo 25 de mayo. Entre otras cuestiones, la nueva norma prevé aumentar la cuantía de las sanciones a aquellas empresas y organizaciones que la infrinjan hasta cifras que pueden alcanzar los 20 millones de euros, una medida que ha causado gran preocupación en el ámbito sanitario, tanto por el volumen como por la delicadeza de la información que en él se maneja.

No obstante, «el régimen sancionador será siempre el último recurso», ha explicado Pedro Colmenares, subdirector general de inspección de datos de la Agencia Española de Protección de Datos (AEPD) durante su intervención en la conferencia ‘Reglamento Europeo de Protección de Datos: Aplicación en el Sector Sanitario’ organizada por la Alianza de la Sanidad Privada Española (ASPE).

De esta forma, Colmenares ha querido tranquilizar a los representantes de instituciones sanitarias españolas presentes en el acto, al subrayar que el reglamento primará la subsanación de los errores puntuales a su sanción, y que las multas tendrán especial incidencia y cargo en aquellos fallos recurrentes que «evidencien malas prácticas» por parte de la empresa o institución en la que se haya producido.

Protección de datos en la Sanidad

Colmenares también ha señalado la dificultad de aplicar el nuevo reglamento europeo sobre la protección de datos en el sector sanitario, un ámbito en el que «se usan de modo masivo y hay que compaginar el derecho del atendido con el uso que le va a dar el profesional que lo vaya a utilizar».

En este sentido, ha especificado que, en cualquier caso, esta norma refuerza la protección del paciente, «al que hay que explicarle muy bien para qué se van a usar sus datos», aunque ha dejado claro que existen excepciones para las que no hace falta la autorización del afectado, como en situaciones en las que exista un riesgo vital para esa persona, en temas de salud pública o para investigaciones científicas.

En cuanto a la figura del delegado de protección de datos, un puesto que prevé la nueva ley para los centros sanitarios y que es otra de las preocupaciones de los gestores de los centros de salud y hospitalarios, el subdirector general de inspección de datos de la AEPD ha especificado que si bien todas las instituciones sanitarias deben tenerlo, «no tiene porqué ser propio del centro, sino que puede tener un contrato de asistencia externo».

«La nueva ley exige una labor proactiva a los sanitarios»

Aunque en algunos aspectos el nuevo reglamento sobre la protección de datos será continuista, en otros supone un gran cambio. Uno de esos ámbitos es el de las sanciones, como ha explicado Colmenares, mientras que otro es el de la «responsabilidad activa». Así lo ha señalado Carlos Rus, secretario general de ASPE, para quien la norma exigirá a los sanitarios «una labor proactiva de prevención, de evaluación de los riesgos y la implantación de las acciones necesarias para evitarlos, así como formación para detectarlos».

Rus ha afirmado que la Ley de Protección de Datos supondrá un «cambio de paradigma», pues obligará a empresas e instituciones sanitarias a abandonar la actuación «reactiva» que se llevaba a cabo hasta ahora, con la que «se reaccionaba en tiempo y forma ante incidentes que se podían producir en el ámbito de la protección de datos».

Asimismo, el secretario general de ASPE ha destacado la importancia de una legislación de esta naturaleza para el ámbito sanitario, un sector que por «el inmenso volumen de datos que maneja exige un tratamiento riguroso».

fuente: https://www.redaccionmedica.com