ciberseguretat

La DPC ha iniciat investigacions contra Google pel seu model d’IA

Miguel Urrea · 10/12/2024 · Deixa un comentari

La DPC ha iniciado investigaciones contra Google por incumplir el RGPD su modelo de IA 1 3

La Comissió de Protecció de Dades d’Irlanda (DPC, per les seves sigles en anglès) és l’autoritat independent responsable de supervisar i garantir la protecció de les dades personals i el compliment del Reglament Europeu de Protecció de Dades (RGPD) a Irlanda. A Espanya, l’autoritat equivalent a la DPC és l’Agència Espanyola de Protecció de Dades (AEPD).

La DPC ha iniciat investigacions contra Google Ireland Limited pel seu model d’IA.

La DPC pretén esbrinar si Google va complir amb la normativa europea sobre protecció de dades personals (el RGPD) durant el desenvolupament del seu model d’intel·ligència artificial Pathways Language Model 2(PaLM 2)

La investigació pretén respondre una qüestió clau: ¿va dur a terme Google una avaluació adequada dels riscos abans de processar dades personals de ciutadans de la Unió Europea (UE) i de l’Espai Econòmic Europeu (EEE) en l’entrenament de PaLM 2?

L’article 35 del RGPD exigeix la realització d’una Avaluació d’Impacte en la Protecció de Dades (AIPD) abans de dur a terme tractaments de dades personals considerats d’alt risc, com succeeix en desenvolupar tecnologies avançades com a models d’IA. Aquesta avaluació té com a objectiu identificar els possibles riscos per als drets i llibertats de les persones, garantir que els tractaments siguin necessaris i proporcionats, i establir mesures de protecció que redueixin aquests riscos.

La DPC qüestiona si Google va realitzar aquesta avaluació de manera adequada abans d’embarcar-se en un projecte tan ambiciós com el desenvolupament de PaLM 2. L’aspecte significatiu d’aquesta investigació no només radica en posar sota escrutini Google, sinó també en subratllar un esforç conjunt de la DPC i altres reguladors europeus per vigilar com les grans empreses tecnològiques gestionen les dades personals en l’àmbit de la intel·ligència artificial.

En un món on la innovació tecnològica sembla avançar més ràpidament que les lleis, iniciatives com aquesta reflecteixen el compromís de les autoritats per equilibrar el desenvolupament tecnològic amb la protecció dels drets fonamentals.

Aquestes accions pretenen garantir que els gegants tecnològics no només impulsin la innovació, sinó que també ho facin respectant la privacitat i els drets de les persones.

Últimes novetats sobre la intel·ligència artificial al món

Abans d’acomiadar-nos, volem compartir amb tu alguns dels esdeveniments més rellevants sobre IA que han tingut lloc els últims mesos.

Europa marca un punt d’inflexió amb la signatura del primer acord global sobre intel·ligència artificial

La Unió Europea ha fet un pas històric en signar el Conveni Marc del Consell d’Europa sobre Intel·ligència Artificial, el primer acord internacional jurídicament vinculant en aquesta matèria. Aquest conveni, signat a Vilnius (Lituània), estableix un enfocament comú per garantir que els sistemes d’IA respectin els drets humans, la democràcia i l’estat de dret, alhora que permet la innovació i la confiança.

El conveni recull principis clau de la Llei d’IA de la UE, com l’enfocament basat en el risc, la transparència, la gestió de riscos i estrictes obligacions per als sistemes d’IA d’alt risc. A més, permet fins i tot la prohibició de tecnologies que amenacin greument els drets fonamentals.

A la signatura hi van assistir representants de la UE, estats membres del Consell d’Europa i països com els Estats Units, el Japó, el Canadà, Mèxic i l’Argentina, així com organitzacions de la societat civil, l’acadèmia i la indústria, garantint una perspectiva global. Aquest assoliment consolida el lideratge europeu en el debat internacional sobre IA, amb esforços paral·lels en fòrums com el G-7, l’OCDE i les Nacions Unides.

Ara, el Conveni serà integrat a la normativa europea a través de la Llei d’IA, pendent d’aprovació pel Consell i el Parlament Europeu. Amb aquest avenç, Europa reafirma el seu compromís amb una intel·ligència artificial segura, ètica i al servei de les persones.

L’OCDE publica un document de polítiques sobre IA en finances

El 5 de setembre de 2024, l’Organització per a la Cooperació i el Desenvolupament Econòmics (OCDE) va anunciar la publicació d’un document de polítiques sobre els enfocaments reguladors envers la intel·ligència artificial en l’àmbit financer.

Aquest document, entre altres coses, examina diversos enfocaments reguladors relacionats amb l’ús de la IA en finances a 49 jurisdiccions, abastant tant països membres com no membres de l’OCDE. Tot i que la majoria d’aquestes jurisdiccions compten amb regulacions generals aplicables a activitats financeres, independentment de la tecnologia utilitzada, moltes no disposen de normatives específiques per a la IA. Només una minoria de reguladors ha desenvolupat directrius específiques sobre IA, i la majoria no té previst implementar noves regulacions a curt termini.

El document també identifica àrees clau de risc, com la ciberseguretat, la manipulació del mercat i els biaixos, destacant les preocupacions sobre la vulnerabilitat de la IA a ciberatacs, incloent-hi atacs contra adversaris i la creació de deep fakes, que podrien facilitar el robatori d’identitat o el frau.

La Xina llança un marc de governança de seguretat per a la IA

El Comitè Tècnic Nacional de Normalització de Seguretat de la Informació de la Xina (TC260) va presentar, el 9 de setembre de 2024, el Marc de Governança de Seguretat de la intel·ligència artificial, dissenyat per guiar el desenvolupament i la implementació segura de la IA al país.

Aquest marc promou un enfocament centrat en les persones, la innovació i la inclusivitat, alhora que aborda la identificació i mitigació de riscos associats amb la IA. Entre les seves propostes destaquen:

Actualitzacions constants de les mesures de control
Classificació dels riscos de seguretat de la IA
Suggeriments de mesures tecnològiques i de governança per garantir la seguretat de les dades
Estratègies per mitigar riscos i garantir el compliment normatiu en fluxos transfronterers de dades

A més, el document estableix directrius de seguretat per a tots els actors involucrats en la IA i detalla un sistema per al seu desenvolupament i aplicació responsable, assegurant que l’ús de la IA sigui segur, ètic i beneficiós per a tothom.

La intel·ligència artificial continua evolucionant a passos de gegant, i aquests avenços reguladors reflecteixen el compromís global per aprofitar-ne el potencial mentre se’n mitiguen els riscos.

Si necessites assessorament en matèria de protecció de dades, des de Qualgest podem ajudar-te. Contacta amb nosaltres i t’oferirem una solució a mida perquè compleixis amb totes les obligacions exigides en la normativa de protecció de dades.

Phishing, suplantació d’identitat i fraus en internet

Miguel Urrea · 10/05/2021 · Deixa un comentari

Des de l’inici de la pandèmia s’ha disparat el nombre d’usuaris que han estat víctimes de ciberatacs o de fraus en internet. El confinament i el teletreball ha provocat que cada vegada realitzem més gestions, tràmits o compres de manera en línia, que passem més temps connectats a la xarxa i, per tant, que estiguem més exposats a sofrir un ciberatac o frau en internet. Una de les modalitats de frau en internet que més ha proliferat durant els últims mesos és la suplantació d’identitat, en aquesta entrada t’explicarem com pots evitar que suplantin la teva identitat en internet, com pots identificar una suplantació d’identitat i què has de fer per a protegir-te.

La suplantació d’identitat consisteix a fer-se passar per una altra persona o empresa, simulant les seves característiques identificatives, amb la finalitat d’obtenir un benefici, com podria ser el robatori de dades o informació privada (phishing), o per a causar un perjudici a la persona, empresa o organització, la identitat de la qual s’ha suplantat, per exemple: a través de falses publicacions, activitats o campanyes que desprestigiïn la seva imatge o reputació.

Avui ens centrarem en aquells casos de suplantació d’identitat en els quals els ciberdelinqüents busquen robar informació privada per al seu propi benefici, el phishing.

En general, les víctimes d’aquest tipus de frau reben un correu electrònic, un SMS, un missatge en aplicacions de missatgeria instantània o en xarxes socials que simula ser legítim, i que fins i tot pot redirigir-los a una pàgina web falsa, en el qual se’ls sol·licita una certa informació privada.

**Alguns casos recents de suplantació d’identitat (phishing):**

Suplanten la web de l’Agència Tributària i ofereixen un reemborsament a canvi de les teves dades: Es tracta d’un correu electrònic que el seu remitent simula ser l’Agència Tributària. L’assumpte del missatge fa referència a un reemborsament de l’impost per valor de 469,00. En el cos del missatge s’informa el destinatari que li correspon un reemborsament per aquest valor i que per a poder reclamar aquesta quantitat ha d’accedir al link facilitat i emplenar un formulari. Aquest formulari permetia obtenir les dades personals i dades bancàries o de targetes de crèdit de les víctimes.

Detectades enquestes suplantant a Amazon que ofereixen productes sospitosament barats: Es tracta d’un correu electrònic que el seu remitent simula ser Amazon. L’assumpte del missatge fa referència a un paquet en el centre de distribució. En el cos del missatge s’informa el destinatari que ha estat seleccionat per a rebre un premi a triar entre targetes regalo, cupons o electrònica a canvi que empleni una enquesta. El link que contenia el correu electrònic redirigia a una simulació de la pàgina web d’Amazon en la qual se sol·licitaven dades personals de les víctimes i se’ls oferia la possibilitat d’adquirir determinats productes a preus irrisoris. D’aquesta manera es robaven les dades personals i dades bancàries o de targetes de crèdit de les víctimes.

Suplanten a la DGT per a instal·lar virus en el teu dispositiu: Es tracta d’un correu electrònic que el seu remitent simula ser la Direcció General de Trànsit. L’assumpte del missatge fa referència al bloqueig d’un vehicle per no haver pagat una multa. En el cos del missatge s’aprecien logos i distintius de la DGT i es facilita un link que suposadament dirigeix a la seu electrònica de la DGT però que en realitat descarrega un fitxer amb malware en el dispositiu.

Lidl no està oferint als seus clients un robot de cuina pels punts de fidelització: Es tracta d’un correu electrònic que el seu remitent simula ser l’empresa de supermercats LIDL. L’assumpte del missatge inclou la paraula una notificació o cita, una data i el nom del destinatari. En el cos del missatge s’informa el destinatari que disposa d’una gran quantitat de punts acumulats que caducaran pròximament tret que els canviï per un robot de cuina abans de la data indicada. Aquest correu electrònic també contenia un link que redirigia a l’usuari a una simulació de la pàgina web de LIDL en la qual se li sol·licitaven les seves dades personals i bancàries per a, suposadament, poder canviar els seus punts per un robot de cuina.

Fals sorteig en xarxes socials: En aquesta mena d’estafa, els ciberdelinqüents suplanten la identitat d’algun compte que en aquell moment estigui portant a cap un sorteig o concurs. Per a això, creen un perfil en la xarxa social que sigui pràcticament idèntic al del compte original que està realitzant el sorteig o concurs (mateix nom, mateixa descripció, mateixes publicacions…), contacten amb els seguidors del compte original i els informen que han estat els guanyadors del concurs o sorteig i que per a poder rebre el premi han de seguir els passos indicats en el link que els adjunten. Aquest link realment porta als usuaris o víctimes a un formulari o web fraudulenta en la qual se’ls sol·licitaran les seves dades personals i bancàries o de targeta de crèdit.

Què fer si suplanten el teu compte en una xarxa social?

1. Bloqueja el compte o posa el perfil en mode privat. D’aquesta manera evitaràs o dificultaràs que el ciberdelinqüent pugui continuar identificant i contactant als teus seguidors o contactes.

2. Adverteix als teus contactes o seguidors sobre la suplantació del teu compte perquè estiguin previnguts.

3. Denúncia la suplantació del teu compte davant la xarxa social o plataforma en qüestió perquè aquesta pugui aplicar mesures com, per exemple, el tancament del compte fraudulent.

4. Documenta els fets. Per exemple, mitjançant captures de pantalla del compte fals i dels missatges que estan enviant als teus contactes o seguidors.

Si ho consideres oportú també pots;

5. Sol·licitar ajuda a l’Institut Nacional de Ciberseguretat (INCIBE) a través de la línia telefònica gratuïta d’ajuda en ciberseguretat: 017 o contacta amb el servei de resposta a incidents de ciberseguretat de l’INCIBE, l’INCIBE-*CERT: incidencias@incibe-cert.es

6. Denunciar el frau davant les Forces i Cossos de Seguretat de l’Estat adjuntant tota la informació

**Com puc protegir-me de la suplantació d’identitat i del phishing?**

Evita publicar les teves dades personals en internet i configura la privacitat del teu perfil perquè no tothom pugui veure la teva informació, publicacions, fotos, etc. D’aquesta manera evitaràs que els ciberdelinqüents puguin utilitzar la informació que has publicat per a enviar-te un correu electrònic o missatge fraudulent i personalitzat.

Sempre que rebis un missatge verifica que el remitent sigui realment qui diu ser, per a això comprova que el domini de l’adreça de correu o el perfil del remitent sigui legítim, no et fiïs de remitents usuaris o empreses que no coneguis o de perfils o dominis que no es corresponguin amb qui diu ser el remitent.

No et fiïs dels missatges o correu electrònics en els quals t’ofereixin grans descomptes, premis o qualsevol altra oportunitat que no puguis deixar escapar si no t’has apuntat a cap sorteig o concurs, si no tens compte de client en aquesta empresa o marca, si mai has facilitat les teves dades de contacte a aquesta empresa o marca o si mai has comprat algun dels seus productes o serveis. Tampoc et fiïs dels correus amenaçadors o que t’exigeixin una resposta urgent.

Desconfia dels formularis o pàgines web que et demanin informació personal, contrasenyes, dades bancàries o números de targeta de crèdit. Algunes empreses adverteixen en la seva pàgina web que mai sol·liciten determinades dades per correu electrònic o xarxes socials.

Repassa la redacció i ortografia del missatge que has rebut. Desconfia si el missatge conté faltes d’ortografia o si sembla una mala traducció d’un altre idioma.

Abans de facilitar alguna dada personal utilitza el sentit comú, revisa el motiu pel qual et demanen les teves dades, assegura’t que no estàs en una pàgina web o formulari fraudulent i llegeix els textos legals de la pàgina web de l’empresa per a verificar que usa donaran a les teves dades i si els cediran a tercers.

Mai contestis a un correu o missatge que et sembli fraudulent, tampoc accedeixis als links que pugui contenir ni descarreguis els arxius que pugui tenir adjunts, simplement elimina-ho. Si tens dubtes, és millor que consultis directament amb l’empresa, persona o servei sobre la validesa del missatge o correu que has rebut.

Mantingues sempre actualitzat: l’antivirus, el sistema operatiu, el navegador i les aplicacions del teu dispositiu.

Si t’ha agradat aquesta entrada, pots consultar entrades anteriors en nostre el nostre Blog o seguir-nos LinkedIn, Facebook o Twitter per estar sempre assabentat de les novetats en matèria de protecció de dades personals.

Si necessites assessorament en matèria de protecció de dades, des de Qualgest podem ajudar-te. Contacta amb nosaltres i t’oferirem una solució a mesura perquè compleixis amb totes les obligacions exigides en la normativa de protecció de dades.

Riscos i avantatges de registrar-se amb un compte de Facebook, Google o Twitter

Miguel Urrea · 18/02/2021 · Deixa un comentari

Avui dia existeixen pàgines web, aplicacions, fòrums i altres plataformes que permeten als usuaris registrar-se utilitzant el seu compte de Google, Facebook o Twitter, entre altres. Els usuaris que opten per aquesta via de registre s’estalvien haver de recordar un nou nom d’usuari i contrasenya. Però, com funciona aquest procés d’autenticació?, és segur?, existeix algun risc per al teu compte de Google, Facebook o Twitter?.

OAuth (Open standard for authorization – Estàndard obert d’autorització)

L’opció de registre mitjançant el procés OAuth és aquella en la qual no has de crear un nou usuari i contrasenya, sinó que utilitzes el teu nom d’usuari de Facebook, Google o una altra plataforma per a registrar-te en una pàgina web, aplicació o servei. Aquest procés funciona de la següent forma:

Quan ens registrem en una plataforma a través d’un compte de Google, Facebook, Twitter o Apple, el que estem fent és demanar a una d’aquestes plataformes que avali la nostra identitat davant el prestador del servei al qual volem accedir (la pàgina web o aplicació en qüestió). A més de validar la nostra identitat, aquestes plataformes també comparteixen una certa informació de l’usuari amb el prestador del servei.

És segur registrar-se en una pàgina web o app mitjançant el procés OAuth?, existeix algun risc per al teu compte de Facebook, Google o Twitter?

Si utilitzes l’opció de registre a través d’un compte de Facebook, Google o Twitter, el procés d’autenticació OAuth garanteix que determinada informació del teu perfil no es comparteixi amb la web o aplicació en la qual t’estàs registrant.

No obstant això, convé tenir present que la pàgina web o aplicació en qüestió podrà accedir a una certa informació pública del teu perfil de la xarxa social o plataforma que utilitzis per a realitzar el registre (Google, Facebook, Twitter…), però en cap cas tindrà accés a la totalitat de la teva informació ni a la teva contrasenya. Aquestes dades que Facebook, Google, Twitter i etc. poden arribar a compartir amb la pàgina web o aplicació serien:

Perfil públic de l’usuari
Correu electrònic de l’usuari
Telèfon de l’usuari
Contactes de l’usuari
Visites i activitat de l’usuari
Capacitat de l’usuari per a realitzar publicacions en el seu mur o perfil.

Com veiem, utilitzar el procés d’autenticació OAuth implica que algunes de les teves dades personals es comparteixin entre la plataforma que utilitzes per a registrar-te i la pàgina web o aplicació en la qual t’estàs registrant. Per a evitar que es comparteixi part d’aquesta informació has de configurar les opcions de seguretat i privacitat de la plataforma que utilitzes per a autenticar la teva identitat (Facebook, Google, Twitter…).

Deixant d’un costat les dades personals que poden compartir-se per defecte quan utilitzes el procés d’autenticació OAuth, hem de destacar que les plataformes com Facebook, Google i Twitter disposen de majors mesures de seguretat i privacitat que una pàgina web o aplicació mitjana. I és que aquestes grans empreses tecnològiques dediquen una gran quantitat de recursos per a protegir les seves dades i, per tant, els dels seus usuaris, de possibles ciberatacs o bretxes de seguretat.

Per tant, si configures correctament les opcions de seguretat i privacitat de la plataforma principal (Google, Facebook, Twitter…) són més els avantatges que els inconvenients d’utilitzar el procés d’autenticació OAuth.

Avantatges:

Major seguretat del teu compte: Ja que aquestes plataformes permeten utilitzar el sistema de verificació en dos passos i, com s’ha comentat, inverteixen una gran quantitat de recursos a desenvolupar i aplicar mesures de seguretat cada vegada majors.

Major control del teu compte: Podràs revocar l’autenticació amb Google, Facebook o Twitter en qualsevol moment, des del seu panell de configuració, per a tancar definitivament el compte en la pàgina web o app.

Major privacitat: La plataforma principal (Facebook, Google, Twitter i etc.) compartirà una certa informació pública del teu perfil amb la pàgina web o aplicació. Però, no compartirà determinada informació o dades personals com per exemple la teva informació bancària o contrasenya. Per tant, si «hackegen» la pàgina web o aplicació no aconseguirien les teves dades bancàries ni la teva contrasenya de la plataforma principal ja que aquesta informació s’emmagatzema en el servidor de la plataforma principal i no en el de la pàgina web o aplicació en qüestió.

Desavantatges:

Depens d’un sol compte: Si et “hackegen” el compte de la plataforma principal podran accedir a tots els comptes en les quals t’hagis registrat amb aquesta plataforma. Per això, és molt recomanable que el compte de la plataforma principal tingui una contrasenya robusta i activat el sistema de verificació en dos passos.

Comparteixes certa informació personal: La pàgina web o app en la qual t’hagis registrat podrà accedir a determinades dades públiques del teu perfil de la plataforma principal. Encara que, tal com dèiem unes línies més a dalt, pots configurar les opcions de seguretat i privacitat de la plataforma principal per a limitar la informació que es comparteix amb les pàgines web o apps en les quals et registris.

Si t’ha agradat aquest article, no oblidis seguir-nos a LinkedIn, Facebook o Twitter per a estar sempre al dia amb les nostres publicacions.

Si necessites assessorament en matèria de protecció de dades, des de Qualgest podem ajudar-te. Contacta amb nosaltres i t’oferirem una solució a mesura perquè compleixis amb totes les obligacions exigides en la normativa de protecció de dades.

Entrades relacionades:

Poden sancionar-te per tenir una web no segura?

Miguel Urrea · 09/12/2020 · Deixa un comentari

Abans d’analitzar si poden sancionar-te per tenir una web no segura, t’explicarem com identificar una web segura i que són els protocols http i https.

Com saber si una web és segura?

Com a usuari d’internet, quan entris a una pàgina web és important que et fixis si la URL comença per https:// o té el símbol d’un cadenat, sobretot si a través d’aquesta pàgina web proporcionaràs dades personals (el teu nom, cognoms, DNI, núm. de targeta, domicili, etc.).

L’adreça o URL de totes les pàgines web disponibles en internet sempre comença amb les sigles http:// o https://. Aquestes sigles fan referència al protocol HTTP, en català, Protocol de Transferència d’Hipertext, que utilitza el servidor on es troba allotjada la web per a comunicar-se amb el navegador del teu dispositiu.

Quina és la diferència entre http i https?

Les pàgines web que utilitzen tecnologia http no xifren les transferències de dades entre el teu navegador i el servidor on es troba allotjada aquesta pàgina web. Per tant, aquestes dades podrien ser interceptats per tercers.

Per contra, les pàgines web que utilitzen el protocol https xifren o encripten les transferències de dades entre el teu navegador i el servidor on es troba allotjada aquesta pàgina web, de manera que resulta pràcticament impossible que aquestes dades puguin ser interceptats per tercers.

En conseqüència, si utilitzes una pàgina web amb protocol http i no https has de tenir en compte que totes les dades que introdueixis en la mateixa (el teu nom, cognoms, DNI, núm. de targeta, domicili, etc.) s’enviaran al servidor on aquesta web es troba allotjada sense xifrar-se, fet que facilita la intercepció d’aquestes dades per part de tercers.

Conseqüències d’utilitzar protocols http en la teva pàgina web

La primera conseqüència és, tal com es comentava en el punt anterior, el risc que les dades dels teus usuaris web siguin interceptats per tercers, amb les implicacions i perjudicis que aquest risc pot comportar tant als titulars de les dades com al responsable de la pàgina web, en tractar-se, segons el que s’estableix en el RGPD, d’un bretxa de seguretat .

Sobre l’anterior, no resultaria estrany que més d’un usuari web decideixi no posar en risc les seves dades i opti per no comprar un determinat servei o producte si la pàgina web que ho ofereix no utilitza una tecnologia o protocol de xitratge de dades https. Sobretot, si tenim en compte que la majoria dels navegadors web adverteixen als seus usuaris si les pàgines web a les quals estan accedint són segures o no. És a dir, si utilitzen un certificat o protocol no segur (http) o bé, si utilitzen un certificat o protocol segur (https).

La segona conseqüència, podria arribar en forma de requeriment o sanció de l’Agència Espanyola de Protecció de Dades (AEPD), per infracció del que s’estableix en l’article 32, sobre seguretat del tractament de dades personals, del Reglament General de Protecció de Dades – EU 675/2016- (RGPD).

I és que, l’article 32 del RGPD, dedicat a la seguretat del tractament de dades personals, estableix que els encarregats o responsables del tractament de dades personals han d’aplicar mesures tècniques i organitzatives apropiades per a garantir un nivell de seguretat adequat al risc per als drets i llibertats dels titulars de les dades, tenint en compte l’estat de la tècnica, els costos d’aplicació, la naturalesa, abast, context i fins del tractament.

Segons aquest article, algunes de les mesures tècniques i organitzatives considerades com a apropiades per a garantir un nivell de seguretat adequat al risc (la implementació del qual correspon als responsables del tractament) són:

a) la pseudonimització i el xifratge de dades personals;

b) la capacitat de garantir la confidencialitat, integritat, disponibilitat i resiliència permanent dels sistemes i serveis de tractament;

c) la capacitat de restaurar la disponibilitat i l’accés a les dades personals de manera ràpida en cas d’incident físic o tècnic;

d) un procés de verificació, avaluació i valoració regulars de l’eficàcia de les mesures tècniques i organitzatives per a garantir la seguretat del tractament.

Com veiem el legislador no estableix un llistat de mesures a implementar en cada cas, limitant-se a recomanar algunes considerades com a apropiades. I és que, el RGPD es basa en el principi de responsabilitat activa , és a dir, el deure dels responsables de complir amb la normativa sobre protecció de dades i ser capaces de demostrar-ho.

Per tant, el responsable del tractament, en aquest cas el responsable d’una pàgina web, ha d’analitzar el risc que implica, per a l’interessat, el tractament de dades que realitza a través del seu web i, en conseqüència, adoptar les mesures tècniques i organitzatives que garanteixin un nivell de seguretat adequat, tenint en compte l’estat de la tècnica, els costos d’aplicació, la naturalesa, abast, context i fins del tractament.

Poden sancionar-te per tenir una web no segura (amb http i no https)?

Abans de preguntar-te si poden sancionar-te per no usar un protocol o certificat https en el teu web, és a dir, que encripti o xifri la informació que es transmet entre els dispositius dels teus usuaris web i el servidor on es troba allotjada el teu web. Has de preguntar-te quines dades dels teus usuaris web tràfics, reculls o emmagatzemes a través de la teva pàgina web i en què país està situat el servidor en el qual es troba allotjada el teu web, perquè podria estar-se produint una transferència internacional de dades, fet que segons el RGPD implica majors obligacions per al responsable.

No és el mateix tenir una pàgina web merament informativa on no es permeti als usuaris introduir dades personals, que tenir una botiga online, on els usuaris que vulguin comprar productes o serveis hagin de facilitar les seves dades de contacte i/o dades bancàries (núm. de compte o de targeta).

Per tant, si la teva pàgina web no permet la recollida de cap dada personal dels usuaris que accedeixin a aquesta, en principi no estaries exposat a una possible sanció al no transmetre’s dades personals o confidencials entre el navegador dels teus usuaris i el servidor on s’emmagatzema el teu web.

Si per contra, la teva pàgina web permet el tractament de dades personals dels teus usuaris web, ja sigui perquè conté un formulari de contacte, permet el registre d’usuaris o per tractar-se d’una botiga online, per posar alguns dels exemples més freqüents, sí que hauries d’utilitzar certificats o protocols de seguretat que encriptin la transferència de dades entre els dispositius dels teus usuaris web i el servidor on es troba allotjada el teu web (https). Si no ho fas, has de tenir en compte que la teva conducta pot considerar-se com una infracció de l’article 32 del RGPD, tal com veurem a continuació.

L’AEPD sanciona a una empresa per no utilitzar el protocol https en la seva pàgina web

En data recent l’AEPD ha imposat una sanció de 1.000€ a una societat mercantil que no utilitzava un protocol de seguretat https en la seva pàgina web, per considerar que la seva conducta infringeix l’article 32 del RGPD.

A continuació detallem els aspectes més rellevants d’aquest procediment sancionador:

– Procediment Sancionador núm.: 00185/2020

– Antecedents:

PRIMER: Amb data 01/05/19, va tenir entrada en aquesta Agència, denúncia presentada per la reclamant en la qual indicava, entre altres, el següent:

“El passat 20 d’abril detecti que la web mancava de mesures de seguretat per a protegir les dades personals com (HTTPS). A més, la web manca d’informació respecte al processament de les dades personals i la seva finalitat, així com, el període en el qual s’emmagatzemen. He contactat amb el venedor instant que millori i adapti la seguretat del seu web a la legislació vigent i no ha respost a cap email”.

TERCER: Amb data 15/06/20, consultada la pàgina web **URL.1, es va poder constatar les següents característiques respecte als seus protocols de seguretat, la seva “política de privacitat” i la seva “política de cookies”:

“La web denunciada comercialitza plaques de matrícula de vehicles, per a la seva venda online. Per a adquirir un joc de plaques de matrícula, els usuaris han d’introduir les seves dades personals en la fulla de comanda: nom i cognoms; DNI; matrícula del vehicle i fins i tot número de bastidor. A més, han d’escanejar i enviar en fitxers adjunts tos, el permís de circulació del vehicle; el DNI per totes dues cares i el justificant de pagament”.

Respecte dels protocols de seguretat utilitzats:

En accedir a la pàgina web denunciada, es comprova que s’accedeix a l’adreça: **DIRECCIÓ.1, amb protocol de seguretat “http”, possibilitant així, que altres usuaris puguin interceptar la informació que es transfereix des del terminal del client al servidor web, ja que la informació que proporcionen els usuaris no es transfereix de manera segura (encriptada).

– Fets provats

1r.- La pàgina web denunciada comercialitza plaques de matrícula de vehicles, per a la seva venda on-line. Per a adquirir un joc de plaques, els usuaris han d’introduir les seves dades personals en la fulla de comanda: nom i cognoms; DNI; matrícula del vehicle i fins i tot número de bastidor. A més, han d’escanejar i enviar en fitxers adjunts, el permís de circulació del vehicle; el DNI per totes dues cares i el justificant de pagament.

2n.- Respecte dels protocols de seguretat utilitzats:

– Fallada

PRIMER: IMPOSAR a l’entitat MIGUEL IBÁÑEZ BEZANILLA S.L., amb CIF.: B39730973 titular de la pàgina web **URL.1 per Infracció dels articles 32 i 13 del RGPD respecte de la política de seguretat i respecte de la política de privacitat respectivament i per la infracció de l’article 22.2) de la LSSI, respecte de la seva Política de Cookies, una sanció de 3.000 euros (tres mil euros= 1.000 euros (art. 32 RGPD) + 1.000 euros (art. 13 RGPD) + 1.000 euros (art. 22.2 LSSI).

Esperem que aquest article t’hagi estat d’utilitat. Si desitges llegir la sanció completa pots fer-ho seguint aquest enllaç, i si prefereixes consultar més articles com aquest, pots fer-ho a través de la nostra web o a través de les nostres xarxes socials: LinkedIn, Facebook i Twitter.

Si t’ha quedat algun dubte o necessites assessorament sobre com complir la normativa de protecció de dades vigent contacta amb nosaltres.

Privacy Shield – El tribunal de Justícia de la Unió Europea l’invalida

ama · 24/07/2020 · Deixa un comentari

¿Què és el Privacy Shield?

L’Escut de Privacitat (Privacy Shield) és l’acord que permetia les transferències internacionals de dades entre Europa i EUA i que substituïa des d’octubre del 2015 al Port Segur (Safe harbour).

El Privacy Shield afermançava la seguretat de les transferències internacionals a les companyies estatunidenques que s’havien certificat.

El RGPD prohibeix expressament la transferència de dades personals a països que no formin part de la CE, excepte en aquells casos en els quals es compleixin unes garanties de seguretat adequades segons la llei de protecció de dades Europea.

Que implica que s’hagi anul·lat la Decisió 2016/1250 de la Comissió que declarava el nivell adequat de protecció de l’esquema de l’Escut de Privacitat (Privacy Shield) per a les transferències internacionals de dades als EUA?.

Les transferències internacionals de dades poden continuar realitzant-se, però en alguns supòsits s’hauran d’aplicar altres garanties i cauteles que dotin aquestes transferències de dades d’un nivell de protecció substancialment equivalent al garantit dins de la Unió Europea pel RGPD.

Per què invalida el TJUE el Privacy Shield?

El Privacy Shield permetia limitacions al dret de protecció de dades personals sobre la base de la normativa estatunidenca. Normativa que autoritza les autoritats estatunidenca a accedir i utilitzar dades de caràcter personal provinents de la UE per a fins de seguretat nacional i interès públic dels EUA.

Segons el TJUE, aquestes limitacions a la protecció de dades personals no estan regulades conforme a les exigències que requereix el Dret de la UE, resultant desproporcionades per als fins perseguits, perquè permeten un accés i utilització de dades personals mes allà de l’estrictament necessari. I, a més, no permet una tutela judicial dels drets sobre la protecció de dades personals dels afectats davant les autoritats estatunidenques.

Què hem de fer a partir d’aquest moment si tenim contractats productes o serveis als EUA?

El TSJE ha declarat que les clàusules contractuals tipus poden ser valgudes, no obstant això, les empreses, especialment aquelles que siguin exportadores de dades, hauran d’avaluar la seva legitimitat i, a més, seran responsables que dites clàusules contractuals s’apliquin, de manera efectiva, en cada transferència de dades.

No existeix un període de gràcia, és una sentència ferma, totes les empreses que tenen la seu als EUA han d’aplicar mesures per a assegurar la privacitat de les dades personals provinents de la UE.

Ara com ara l’única cosa que podem fer és esperar.

Després de la sentència, és d’esperar, que les empreses estatunidenques implementin les mesures adequades per a complir amb les garanties de privacitat de les dades personals dels ciutadans europeus.

Continuarem atents als comunicats de les autoritats europees per a continuar assessorant els nostres clients sobre les mesures que hauran d’adaptar-se a partir d’aquest moment.

¡Si necessites assessorament amb aquest tema o amb altres relacionats amb l’aplicació de la protecció de dades en la teva empresa o establiment comercial, contacta amb Qualgest i t’ajudem!