Qualgest

Empresa Especializada en Protección de Datos

Blog Protección de Datos

Toma de temperatura en comercios, centros de trabajo y otros establecimientos

· · Dejar un comentario

Estos días en Internet estamos viendo multitud de sistemas que “ayudaran” en el desconfinamiento y en los “posibles futuros contagios del COVID19”.

Se están planificando sistemas de control de acceso con toma de temperatura en comercios, centros de trabajo y otros establecimientos de forma masiva con el objetivo de prevenir nuevos contagios del COVID-19 sin el criterio previo y necesario de las autoridades sanitarias.

Esto supone un problema en el tratamiento de los datos porque lo más probable es que al contratar estos dispositivos no se tengan en cuenta aspectos como:

  • la fiabilidad de los equipos
  • si se ha realizado una evaluación del impacto previa a la instalación de estos para asegurar que seguimos cumpliendo con la seguridad desde el diseño.
  • si se está cumpliendo la normativa de protección de datos

Antes de instalar este tipo de dispositivos de control, y solo en el caso de que las autoridades sanitarias así lo determinen, tenemos que hacernos algunas preguntas:

  • ¿cómo se va a guardar esta información para evitar que se pueda hacer un uso no apropiado del dato obtenido?
  • ¿cómo se van a calibrar los equipos para estar seguros de que el dato obtenido es fiable?
  • ¿cuánto tiempo se va a guardar el dato personal?
  • ¿dónde se va a guardar?
  • ¿existe la posibilidad de que otras empresas o organizaciones accedan al dato?

Instalar este tipo de dispositivos supone una pérdida de derechos de los afectados y un tratamiento de datos sensibles de forma masiva.

OJO con aplicar este tipo de medidas sin estar asesorado para evitar denuncias o sanciones, y para lo que es todavía más importante, asegurar que seguimos tratando y protegiendo los datos personales de trabajadores, clientes y proveedores adecuadamente y con seguridad.

Protección de Datos y Ciberseguridad

· · Dejar un comentario

En los últimos años se han duplicado los ciberataques por medio de la ingeniería social. Es decir, para un ciberdelincuente es, literalmente, el doble de fácil engañar a una persona con falsos emails, SMS y mensajes de WhatsApp que encontrar una vulnerabilidad de software para robarle directamente.

Se trata de un verdadero problema porque la ambición de los hackers no tiene límite. En muchas ocasiones se ‘conforman’ con hacerse con los datos bancarios o cuentas de email de una persona. Pero otras muchas veces aprovechan la información que recaban sobre uno o varios individuos para ciberatacar la empresa u organización en la que trabajan.

En este sentido, cada día es más habitual leer noticias en las que ‘todo el sistema informático de una compañía ha sido tumbado por unos hackers que consiguieron introducir un virus por medio del email en un trabajador’.

Es importante tener en cuenta que todas las personas cometemos errores. Todas. Desde el empleado que se acaba de incorporar hasta el máximo directivo de la organización. A veces, los fallos se producen por falta de atención, es decir por un despiste; por errores de percepción, cuando por ejemplo, pensamos que un correo es legítimo cuando en realidad no lo es; o por errores en la decisión tomada, es decir, cuando sospechamos que algo puede ser peligroso pero asumimos el riesgo y finalmente vemos que hemos tomado una decisión incorrecta.

“La formación es necesaria, pero no es suficiente para evitar riesgos por ataques que explotan el factor humano, por muy formados que estén los empleados de una compañía, si hay alguna vulnerabilidad en los servidores corporativos, tarde o temprano, los hackers conseguirán engañar a alguien para tener barra libre en el sistema”.

Hoy en día la mayor parte de las empresas, sobre todo las pymes, siguen teniendo un nivel bajo de seguridad.

No existe la seguridad perfecta, y los ataques pueden venir desde fuera o desde dentro. Es imposible estar protegido siempre al 100%, aunque se puede estar mejor preparado para evitar los incidentes.

¿Cuáles son los errores en las empresas en seguridad informática?

  • No se dispone de antivirus actualizado. Y en muchos casos se dispone de antivirus gratuitos que no están actualizados y que por tanto no nos protegen bien.
  • No se instalan los parches de seguridad. En los parches se corrigen vulneraciones de seguridad, es importante actualizarlos siempre
  • Se confía en la suerte. Hay malware en muchísimos emails, muchísimo spam.
  • Las contraseñas son débiles.La contraseña más utilizada es 123456 ¡por favor, no la utilices!, crea contraseñas seguras de más de 8 dígitos, que combinen mayúsculas, minúsculas y algún símbolo, que sean fácil de recordar para ti pero que no tengan relación con tu vida (nombre de la mascota, hijo, marido, fechas especiales, etc.)
  • No se dispone de protectores de pantalla y no se configura la contraseña para entrar en PC, portátiles, móviles, Tablet, o no se cambia la contraseña de módems, electrodomésticos, cámaras de videovigilancia, etc.
  • Se navega en redes wifi-gratuitas..
  • Se entra en webs que no tienen un certificado de seguridad instalado esto lo identificaras fácilmente si ves un candado cerrado junto a la dirección de la web.
  • Se descargan apps de fuentes desconocidas. Hay aplicaciones maliciosas en las tiendas oficiales, imagínate en las no oficiales. Revisa siempre las condiciones del servicio, y a qué datos del móvil va a tener acceso la aplicación, la política de privacidad. Si te descargas una APP que tiene acceso a todo, le estás dejando la puerta abierta a todos tus datos (tarjetas, claves, contactos, redes sociales, correo electrónico, etc.)

Dejemos de pensar que eso no me va a pasar a mí o que yo (a nivel particular) o mi empresa (a nivel profesional) no es interesante.

¿Sabes cuánto se estima que se paga por los datos en el mercado negro?

  • nº de tarjeta de crédito 30€
  • Dirección y teléfono 60€
  • Si además disponen de la banda magnética y el PIN 100€

En la siguiente web https://threatmap.checkpoint.com/ podrás ver a tiempo real el número de ataques producidos en el mundo hoy mientras escribo este articulo se han producido ya 5.610.390 ataques.

Todos cometemos errores. Generalmente es por falta de atención, por falta de percepción (parecía que el email realmente era de la agencia tributaria); errores de decisión (sabía que no tenía que hacer clic en el archivo, pero le di sin querer. Hay mucha ingeniería social por detrás que hace pruebas y pruebas.

Cuando es un ataque dirigido a una empresa es todavía más difícil de adivinar. Llegando incluso a suplantar la identidad de una persona de la empresa o de un colaborador.

Contacta con nosotros o bien llámanos al 93 465 25 47 y realizaremos un análisis de riesgos y te asesoraremos sobre las soluciones de seguridad que te ayudaran a proteger los datos.

ADAPTARSE A LA PROTECCIÓN DE DATOS A COSTE “0” ES UN FRAUDE

· · Dejar un comentario

Frecuentemente nos encontramos con empresas que nos preguntan sobre la adaptación a la protección de datos a coste “0” con cargo a la formación y nosotros siempre contestamos que eso no se puede hacer porque es en un fraude, pero esto no lo decimos nosotros, lo dice la AEPD (Agencia Española de Protección de datos) y lo avala FUNDAE (La Fundación Estatal para la Formación en el Empleo)

El conocido como ‘coste cero’ consiste en ofertar servicios a un precio muy bajo o de forma gratuita, abonando los mismos mediante fondos destinados a formación para trabajadores.

INFRACCIONES SANCIONABLES POR ADAPTARSE A LA PROTECCIÓN DE DATOS GRATIS

La contratación del servicio de adecuación a la normativa de protección de datos a coste cero, financiada con cargo a fondos públicos a través de bonificaciones en las cuotas a la Seguridad Social para la formación profesional para el empleo, puede derivar en infracciones que se sancionarán, por la Inspección de Trabajo y Seguridad Social, con multas de 626 euros a 187.515 euros, sin perjuicio de considerar, en cada caso, una infracción por cada empresa y por cada acción formativa, la solidaridad de los distintos sujetos intervinientes en la organización y ejecución de la formación en la devolución de las cantidades indebidamente obtenidas y las sanciones accesorias que en cada caso procedan.

La Agencia también advierte a pymes y autónomos, destinatarios fundamentales de este tipo de prácticas, que los servicios de adecuación a la normativa requieren de la realización de un estudio individual pormenorizado de la entidad, los tipos de tratamientos que se realizan, los sistemas informáticos y los sistemas de gestión documental, aplicando los principios de protección de datos en los procedimientos. Por tanto, es insuficiente un asesoramiento basado en documentos genéricos que no tengan en cuenta las características específicas de la actividad.

También nos hemos encontrado en alguna ocasión con empresas que no necesitan tener un Delegado de Protección de Datos y que han sido informados por algunas empresas poco profesionales del sector de que si están obligados. Hacer creer a pymes y autónomos que están obligadas en cualquier caso a designar un delegado de protección de datos u ofrecer servicios innecesarios para los tratamientos que realiza la empresa son otros de los mensajes engañosos frecuentes.

El documento también hace referencia a prácticas agresivas y que podrían incurrir en competencia desleal, como actuar con intención de suplantar la identidad de la Agencia en las comunicaciones que se realizan, generar la apariencia de que se está actuando en colaboración con la AEPD, realizar prácticas comerciales en las que se coarte el poder de decisión de los destinatarios mediante la referencia a la posible imposición de sanciones por incumplimiento de la normativa de protección de datos, u ofrecer documentación por la que se pretenda crear una apariencia de cumplimiento de la normativa de forma complementaria a la realización de acciones formativas sin haber llevado a cabo las actuaciones necesarias para verificar dicho cumplimiento. En estos casos, los afectados podrán ejercer acciones ante los juzgados de lo mercantil o denunciarlo ante la Comisión Nacional de los Mercados y de la Competencia si se vulnera la Ley de Defensa de la Competencia.

La Agencia recuerda la conveniencia de que las pymes y autónomos que quieran o tengan que contratar servicios de adecuación a la normativa de protección de datos se aseguren de que los servicios que se les ofrecen no incurren en las prácticas mencionadas con anterioridad.

Si tienes dudas sobre como adaptar la empresa a la protección de datos, contacta con nosotros y te asesoraremos sobre los requisitos necesarios y de cómo hacerlo de forma personalizada y profesional.

FUENTE AEPD

AEPD publica guía para mejorar la privacidad desde el diseño

· · Dejar un comentario

La AEPD ( Agencia Española de Protección de Datos ) ha publicado una guía para facilitar la aplicación de la privacidad desde el diseño dirigida a responsables de tratamiento como a proveedores y prestadores de servicios, desarrolladores de productos y aplicaciones o fabricantes de dispositivos.

La idea de ‘protección de datos desde el diseño’ existe desde hace más de 20 años y se ha trabajado intensamente en ella bajo la terminología de ‘privacidad desde el diseño’ (Privacy by Design, PbD).

Este concepto fue desarrollado por la Comisionada de Protección de Datos de Ontario, Ann Cavoukian, en la década de los 90; presentado en la 31ª Conferencia Internacional de Comisionados de Protección de Datos y Privacidad del año 2009 bajo el título “Privacy by Design: The Definitive Workshop” [1][2] y aceptado internacionalmente en la 32ª Conferencia Internacional de Comisionados de Protección de Datos y Privacidad, celebrada en Jerusalén en el año 2010, con la aprobación de la “Resolución sobre la Privacidad por Diseño” [3] .

En esta resolución se reconocía la importancia de incorporar los principios de privacidad dentro de los procesos de diseño, operación y gestión de los sistemas de la organización para alcanzar un marco de protección integral en lo que a protección de datos se refiere.

Además, se animaba a la adopción de los Principios Fundacionales de la Privacidad desde el Diseño definidos por Ann Cavoukian y se invitaba a las Autoridades de Protección de Datos a trabajar activamente e impulsar la incorporación de la privacidad desde el diseño en las políticas y la legislación en materia de protección de datos de sus respectivos Estados.

El Reglamento (UE) 2016/679, General de Protección de Datos (en adelante, RGPD), en su artículo 25 [5] y bajo el epígrafe ‘Protección de datos desde el diseño y por defecto’, incorpora a la normativa de protección de datos la práctica de considerar los requisitos de privacidad desde las primeras etapas del diseño de productos y servicios.

Por lo tanto, le confiere la categoría de requisito legal al principio de integrar las garantías para la protección de los derechos y libertados de los ciudadanos con relación a sus datos personales desde las primeras etapas del desarrollo de sistemas y productos. Entendido pues como la necesidad de considerar la privacidad y los principios de protección de datos desde la concepción de cualquier tipo de tratamiento y a los efectos de redacción de este documento, los términos ‘protección de datos desde el diseño’ y ‘privacidad desde el diseño’ pueden ser considerados equivalentes.

Principios como proactividad, privacidad como configuración predeterminada, privacidad incorporada en la fase del diseño, funcionalidad total (la privacidad no debe implicar perder otras funcionalidades), privacidad durante todo el ciclo de vida (confidencialidad, integridad, disponibilidad y resiliencia son fundacionales de la privacidad desde el diseño.

Pero además se deben tener en cuenta:

  • La privacidad durante todo el ciclo de vida y las medidas que se deben tener en cuenta para proteger la información garantizando la seudonimización, clasificación del dato según el perfil, cifrado para asegurar que en caso de perdida o robo el dato sea ilegible y destrucción segura.
  • La visibilidad y transparencia mediante políticas de privacidad de fácil acceso, clausulas informativas concisas y claras, mecanismos de comunicación sencillos, difusión de la persona encargada dentro de la compañía
  • Enfoque centrado en el sujeto de los datos para facilitar que el usuario tenga privacidad garantizada.

Descargar Guia de Privacidad desde el Diseño – AEPD

Protección de Datos, el internet de las cosas, inteligencia artificial y Alexa

· · Dejar un comentario

¿Tienes un altavoz Alexa que te ayuda a buscar información o canciones en Internet?

La pregunta que más repetida al altavoz es ¿Alexa alguien más nos está escuchando? y la respuesta es SI!!!
La compañía reconoce anotar un pequeño número de interacciones para «mejorar la experiencia del cliente»
Este tipo de dispositivos «facilitan nuestra vida» ¿pero hasta qué punto invaden nuestra privacidad y nos analizan?
Empleados de Amazon escuchan a diario en su jornada laboral de 9 horas una media de 1000 grabaciones de conversaciones de usuarios con Alexa de forma aleatoria.
Estas grabaciones en principio, se activan cuando se pronuncia la palabra Alexa, y digo en principio porque empleados de Amazon confirman que en ocasiones han escuchado grabaciones de conversaciones de usuarios, o discusiones, ¡¡¡o mensajes de ayuda!!!
Pese a estas declaraciones de los empleados, Amazon asegura que las anotaciones puntuales se activan con la palabra ‘Alexa”. Y aseguran que se toman muy en serio la seguridad y privacidad de la información personal de nuestros clientes», pero cuando promocionan el dispositivo no indican explícitamente que haya humanos escuchando grabaciones recogidas por el altavoz.
A la pregunta “¿cómo se usan mis grabaciones de voz?”, se responde “Usamos tus solicitudes a Alexa para entrenar nuestros sistemas de reconocimiento y comprensión del lenguaje natural. Cuantos más datos usamos para entrenar estos sistemas, Alexa funcionará mejor, y entrenar a Alexa con grabaciones de voz de un rango diverso de usuarios ayuda a conseguir que Alexa funcione bien para todos».
El internet de las cosas y la inteligencia artificial han llegado para quedarse, si quieres leer la noticia completa sigue este enlace (https://elpais.com/tecnologia/2019/04/11/actualidad/1554992401_521050.html)

Adapta tu empresa a la Protección de Datos Cumple la normativa